Newsletter Subscription Form WordPress-Plugin: Unauthentifizierte SQL-Injection
Zusammenfassung
Das WordPress-Plugin Newsletter Subscription Form – User Subscriptions Form, Capture Email bis einschliesslich Version 1.5.9 enthält eine SQL-Injection-Schwachstelle (CWE-89). Ein nicht authentifizierter Angreifer kann über das öffentliche Anmeldeformular SQL-Befehle einschleusen, was das Lesen, Verändern oder Löschen von Datenbankinhalten wie Abonnentendaten und Benutzerkonten ermöglichen kann. Der CVSS-Wert beträgt 9.3 (kritisch), und es ist keine Anmeldung erforderlich.
Betroffen
- WordPress-Plugin Newsletter Subscription Form – User Subscriptions Form, Capture Email, alle Versionen bis einschliesslich 1.5.9
Behoben in
- Unbekannt. Zum Zeitpunkt der Erstellung ist kein Herstellerfix und keine korrigierte Version bestätigt.
Umgehung
- Plugin deaktivieren und entfernen, falls das Newsletter-Formular nicht benötigt wird.
- Die Website hinter eine WAF oder ein Virtual Patching stellen; Patchstack meldet eine Schutzregel, dies wurde jedoch nicht unabhängig verifiziert.
- Das Datenbankkonto von WordPress auf die minimal nötigen Berechtigungen beschränken.
- Datenbank- und Webserver-Logs auf Hinweise auf Missbrauch prüfen.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle ausgenutzt wird; nicht im CISA-KEV-Katalog gelistet.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle WordPress-Websites mit diesem Plugin ermitteln, einschliesslich Kundenwebsites.
- Plugin dort deaktivieren und entfernen, wo es nicht benötigt wird.
- Falls es verbleiben muss, eine WAF oder ein Virtual Patching einsetzen und Datenbankberechtigungen einschränken, bis ein offizieller Fix verfügbar ist.
- Logs und Datenbank auf Anzeichen einer Kompromittierung prüfen.
- Die Seiten von Patchstack und WordPress.org auf einen korrigierten Release überwachen und nach Veröffentlichung sofort aktualisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Strix CVE record www.strix.ai
- HOL CVE record hol.org
- Radar OffSeq radar.offseq.com
- WordPress.org plugin page en-gb.wordpress.org
- WordPress.org author page Weblizar wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:18.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.