Events Manager WordPress-Plugin: SQL-Injection durch authentifizierte Subscriber
Zusammenfassung
Das WordPress-Plugin Events Manager bis einschliesslich Version 7.4.6 enthält eine SQL-Injection-Schwachstelle (CWE-89). Ein Angreifer mit einem Subscriber-Konto kann SQL-Abfragen einschleusen und so Daten in der WordPress-Datenbank lesen, verändern oder löschen, einschliesslich Benutzerkonten und privater Daten. Der Angreifer benötigt nur ein Konto mit niedrigen Rechten, das auf Websites mit offener Registrierung oft erhältlich ist.
Betroffen
- Events-Manager-WordPress-Plugin (WordPress Events Manager - Calendar, Bookings, Tickets, and more!), Versionen bis einschliesslich 7.4.6
- Erforderliche Berechtigung: Subscriber
Behoben in
- Version 7.4.7 behebt CVE-2026-42633 laut Patchstack und anderen Schwachstellendatenbanken.
- Patchstack führt 7.4.10 als aktuelle Version auf. Die neueste Version vor dem Rollout auf der WordPress.org-Plugin-Seite prüfen.
Umgehung
- Keine vom Hersteller veröffentlichte Workaround-Massnahme. Das Aktualisieren ist die Abhilfe.
- Falls das Patchen verzögert werden muss: offene Subscriber-Registrierung einschränken oder deaktivieren und bestehende Subscriber-Konten prüfen.
- Patchstack stellt seinen Kunden eine Mitigationsregel bereit; dies ist kein Herstellerfix.
Ausnutzung
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof-of-Concept gefunden; dies schliesst einen solchen nicht aus.
- EPSS 0.00332 (Rapid7/Vulners).
- CISA SSVC: Ausnutzung keine, automatisierbar nein. Patchstack beschreibt die Schwachstelle als wahrscheinlich ausgenutzt in Massenkampagnen.
Unsere Empfehlung
- Events-Manager-Plugin auf Version 7.4.7 oder neuer aktualisieren und die aktuelle Version auf WordPress.org prüfen.
- Subscriber- und Kundenkonten auf unbekannte oder kürzlich erstellte Benutzer prüfen.
- Datenbank und Buchungsdaten auf unerwartete Änderungen prüfen.
- Webserver- und WAF-Logs auf SQL-Injection-Muster überwachen.
- Die Priorität ist hoch für Websites mit Benutzerregistrierung oder Buchungsfunktionen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: WordPress Events Manager plugin <= 7.4.6 SQL Injection patchstack.com
- HOL Guard: CVE-2026-42633 advisory hol.org
- Really Simple Security: Events Manager vulnerability record vulnerabilities.really-simple-security.com
- WPScan: Events Manager plugin wpscan.com
- Rapid7/Vulners: CVE-2026-42633 (EPSS) vulners.com
- OpenCVE: CVE-2026-42633 app.opencve.io
- Strix: CVE-2026-42633 www.strix.ai
- WordPress.org: Events Manager plugin wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:00.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.