MLS On The Fly WordPress-Plugin: SQL-Injection durch Subscriber-Konten
Zusammenfassung
Das WordPress-Plugin MLS On The Fly bis und mit Version 1.8.1.5 enthält eine SQL-Injection-Schwachstelle (CWE-89). Ein authentifizierter Benutzer mit der Rolle Subscriber, also mit niedrigen Berechtigungen, kann manipulierte Eingaben senden, die ungefiltert an die Datenbank weitergegeben werden. Ein erfolgreicher Angriff könnte Datenbankinhalte lesen, verändern oder löschen, einschliesslich Benutzerkonten und gespeicherter Kunden- oder Interessentendaten. Patchstack meldet, dass noch kein offizieller Patch verfügbar ist, und die Herstellerzuordnung ist nicht bestätigt.
Betroffen
- WordPress-Plugin MLS On The Fly, Versionen bis und mit 1.8.1.5
- Herstellerzuordnung nicht bestätigt: Realtyna (Herstellerseite) oder favethemes (VulDB)
Behoben in
Unbekannt. In den Quellen zum Zeitpunkt der Recherche wurde keine korrigierte Version bestätigt.
Umgehung
Unbekannt aus den geprüften Quellen. Nicht gegen eine Herstellerquelle verifizierte Optionen:
- Selbstregistrierung von Subscriber-Konten einschränken oder deaktivieren
- Nicht benötigte Subscriber-Konten entfernen
- Prüfen, ob das Plugin noch benötigt wird
- Eine Web Application Firewall kann einen gewissen Schutz bieten, ist aber keine Korrektur
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn; CISA KEV führt die Schwachstelle als No
- VulDB meldet, dass kein Exploit verfügbar ist; kein öffentlicher Proof of Concept gefunden
- EPSS 0.38 % (Perzentil 32)
- CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung partial
Unsere Empfehlung
- Prüfen, ob Kundenseiten dieses Plugin einsetzen und ob die offene Subscriber-Registrierung aktiviert ist
- Offene Registrierung deaktivieren und nicht benötigte Subscriber-Konten entfernen
- Deaktivierung des Plugins erwägen, falls es nicht mehr benötigt wird
- Patchstack-Advisory und Hersteller auf eine korrigierte Version überwachen und diese zeitnah einspielen
- Web-Server- und Datenbanklogs auf verdächtige SQL-Fehler oder Anfragen überwachen
- Für die Priorisierung den NVD-CVSS-3.1-Vektor (8.5) verwenden; andere Bewertungen weichen ab
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Vulners CVE record vulners.com
- VulDB entry vuldb.com
- Realtyna MLS On The Fly realtyna.com
- CVE Threat Intelligence record cve.threatint.com
- Strix CVE record www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.