UDesign Core WordPress-Plugin: SQL-Injection durch authentifizierte Subscriber-Benutzer
Zusammenfassung
UDesign Core, ein WordPress-Plugin von AndonDesign, ist bis und mit Version 4.15.0 betroffen. Ein Angreifer mit einem Subscriber-Konto, der niedrigsten Standardrolle in WordPress, kann über das Plugin SQL-Befehle einschleusen. Eine erfolgreiche Ausnutzung kann Datenbankinhalte offenlegen, verändern oder löschen, einschliesslich Benutzerkonten und privater Daten. Patchstack stuft die Schwachstelle als hohe Priorität ein, und zum Zeitpunkt der Quellenprüfung war keine offizielle korrigierte Version verfügbar.
Betroffen
- UDesign Core WordPress-Plugin (Paket u-design-core), Versionen bis und mit 4.15.0
- Beginn des betroffenen Bereichs: n/a (unbekannt)
Behoben in
- Unbekannt. Laut Patchstack ist kein offizieller Patch verfügbar.
Umgehung
- Patchstack hat eine Schutzregel veröffentlicht, die Angriffe blockiert, bis ein offizieller Patch verfügbar ist (laut der Herstellerseite nur für Patchstack-Kunden).
- Offene Benutzerregistrierung schliessen oder die Standardrolle herabsetzen, damit neue Benutzer keine Subscriber-Konten erhalten.
- Nicht benötigte Subscriber- und andere Konten mit niedrigen Rechten entfernen.
- Plugin deaktivieren, falls dessen Funktionen nicht benötigt werden.
- Datenbankbenutzer auf die minimal nötigen Berechtigungen beschränken, um die Auswirkungen einer SQL-Injection zu begrenzen.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden.
- Nicht als bekanntermassen ausgenutzt (KEV) gelistet.
- Patchstack geht davon aus, dass die Schwachstelle ausgenutzt werden wird, und verweist auf den Einsatz ähnlicher Lücken in Massenangriffen.
Unsere Empfehlung
- Alle WordPress-Seiten auf u-design-core in Version 4.15.0 oder älter prüfen.
- Offene Registrierung schliessen und alle Subscriber-Konten jetzt überprüfen.
- Patchstack oder eine gleichwertige WAF mit Virtual Patching aktivieren.
- Patchstack-Eintrag und Herstellerkanäle auf eine korrigierte Version überwachen, danach aktualisieren und die installierte Version überprüfen.
- WordPress-Core und andere Plugins aktuell halten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: WordPress UDesign Core Plugin <= 4.15.0 SQL Injection patchstack.com
- HOL Guard: CVE-2026-42416 UDesign Core SQL Injection hol.org
- Strix: CVE-2026-42416 www.strix.ai
- OffSeq Radar: CVE-2026-42416 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.