Gmedia Photo Gallery WordPress-Plugin: Blind SQL-Injection
Zusammenfassung
Das WordPress-Plugin Gmedia Photo Gallery (grand-media) bis einschliesslich Version 1.25.1 enthält eine Blind-SQL-Injection-Schwachstelle (CVE-2026-39785, CVSS 9.3). Ein nicht authentifizierter Angreifer kann über manipulierte Anfragen Daten aus der WordPress-Datenbank auslesen, darunter Benutzerkonten und private Daten, und möglicherweise Daten verändern oder löschen. Patchstack nennt Version 1.25.2 als gepatchte Version; eine Bestätigung durch den Hersteller oder einen WordPress.org-Changelog-Eintrag konnte jedoch nicht geprüft werden.
Betroffen
- Gmedia Photo Gallery (WordPress-Plugin grand-media) bis einschliesslich 1.25.1
- Frühere Versionen: untere Grenze im CNA-Eintrag nicht angegeben (aufgeführt als 0 bis <= 1.25.1)
Behoben in
- Patchstack nennt Version 1.25.2 als gepatchte Version (nicht durch den Hersteller oder den WordPress.org-Changelog bestätigt)
- Herstellerseitiger Fix-Status: Unbekannt.
Umgehung
- Keine herstellerseitige Massnahme dokumentiert.
- Patchstack hat für seine Kunden eine Virtual-Patch-Regel bereitgestellt; deren Status prüfen.
- Öffentlichen Zugriff auf die betroffene Website bzw. die Endpunkte des Plugins nach Möglichkeit einschränken.
Ausnutzung
- Nicht als ausgenutzt bekannt; soweit überprüfbar nicht im CISA KEV gelistet.
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies schliesst dessen Existenz nicht aus.
- CISA SSVC: Automatisierbar ja, technische Auswirkung partiell.
- Patchstack bezeichnet die Schwachstelle als hochgefährlich und erwartet eine Ausnutzung in Massenkampagnen.
Unsere Empfehlung
- Prüfen, ob WordPress-Websites das Plugin Gmedia Photo Gallery (grand-media) verwenden, insbesondere öffentlich erreichbare Websites.
- Plugin deaktivieren und entfernen, falls die Galerie nicht geschäftskritisch ist; dies ist die verlässlichste Option, da kein Hersteller-Fix bestätigt ist.
- Falls das Plugin bleiben muss, auf 1.25.2 aktualisieren, nachdem die Freigabe geprüft wurde, eine WAF oder einen Virtual Patch einsetzen und die Berechtigungen des Datenbankkontos einschränken.
- Ein getestetes Backup erstellen und Webserver-Logs auf ungewöhnliche Anfragen an das Plugin oder den Parameter gmedia__in prüfen.
- Migration auf ein gepflegtes Galerie-Plugin planen, da das Plugin möglicherweise nicht mehr gepflegt wird.
- Die überlappende CVE-2026-96661 beachten und ebenfalls prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-39785 patchstack.com
- Strix CVE-2026-39785 www.strix.ai
- HOL CVE-2026-39785 hol.org
- WPScan vulnerability record wpscan.com
- Strix CVE-2026-96661 (overlapping CVE) www.strix.ai
- WordPress.org Grand Media plugin page wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:21.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.