Qode Tours WordPress-Plugin: SQL-Injection durch authentifizierte Subscriber

Zusammenfassung

Das WordPress-Plugin Qode Tours bis Version 3.1.3.2 enthält eine SQL-Injection-Schwachstelle (CWE-89). Ein Angreifer mit einem Subscriber-Konto kann SQL-Abfragen einschleusen und so Datenbankinhalte lesen, verändern oder löschen, einschliesslich Benutzerkonten und privater Daten. Die verfügbaren Quellen bestätigen keinen Herstellerpatch, und eine Ausnutzung in freier Wildbahn ist nicht bekannt.

Betroffen

• Qode Tours WordPress-Plugin, Versionen 3.1.3.2 und älter
• Das Plugin wird mit dem Bridge-Theme ausgeliefert; eine Verbreitung ausserhalb des Pakets ist unbekannt.

Behoben in

• Unbekannt. Die korrigierte Version ist nicht bestätigt; das Herstellerchangelog nennt 3.1.3.3 und 3.1.3.4, sagt aber nicht, dass diese diese CVE beheben.

Umgehung

• Kein vom Hersteller veröffentlichter Workaround bekannt.
• Offene Benutzerregistrierung deaktivieren oder einschränken.
• Nicht benötigte Subscriber- oder Kundenkonten entfernen und starke Passwörter sowie 2FA durchsetzen.
• Eine Web Application Firewall vor die Website schalten und beim Hersteller eine Regel für diese Schwachstelle anfragen.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine Hinweise gefunden. CISA ADP führt die Ausnutzung als none und die Automatisierbarkeit als no.
• Öffentlicher Proof of Concept: unbekannt (keiner gefunden).
• EPSS-Wert laut Quelle 0.00332 (kann sich ändern).
• Die verwandte CVE-2026-65546 (ohne Authentifizierung, CVSS 9.3) betrifft dasselbe Plugin und dürfte ausgenutzt werden.

Unsere Empfehlung

• Prüfen, ob das Plugin installiert ist und ob die offene Subscriber-Registrierung aktiviert ist.
• Beim Hersteller oder bei Patchstack die korrigierte Version erfragen und sobald bestätigt auf die neueste Herstellerversion aktualisieren.
• CVE-2026-65546 zusammen mit dieser CVE als eine Wartungsaufgabe patchen.
• Kontoerstellung einschränken und bestehende Konten überprüfen.
• Logs auf ungewöhnliche Datenbankfehler und Anfragen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory CVE-2026-42712 patchstack.com
• OpenCVE CVE-2026-42712 app.opencve.io
• Vulners RAPID7 CVE-2026-42712 (EPSS) vulners.com
• Bridge theme changelog (Qode) bridge.qodeinteractive.com
• Patchstack advisory CVE-2026-65546 (related) patchstack.com
• Themesinfo Qode Tours plugin listing themesinfo.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:58.