StylemixThemes uListing: Unauthentifizierte SQL-Injection
Zusammenfassung
Das WordPress-Plugin uListing bis einschliesslich Version 2.2.0 ist von einer unauthentifizierten SQL-Injection betroffen (CVE-2026-62031, CVSS 9.3). Ein nicht angemeldeter Angreifer kann über eine Netzwerkanfrage SQL-Befehle einschleusen, was das Lesen, Verändern oder Löschen von Datenbankinhalten ermöglichen kann, einschliesslich Benutzerkonten und privater Daten. Es ist weder eine Anmeldung noch eine Benutzerinteraktion nötig, weshalb öffentlich erreichbare WordPress-Seiten mit diesem Plugin am stärksten gefährdet sind. Zum Zeitpunkt der Recherche wurden keine bekannte Ausnutzung und kein öffentlicher Proof of Concept gefunden.
Betroffen
- WordPress-Plugin uListing, Versionen bis und mit 2.2.0
Behoben in
- Unbekannt. Es wurde keine korrigierte Version und keine Herstellerwarnung gefunden.
Umgehung
- Plugin deaktivieren und entfernen, falls es nicht benötigt wird.
- Falls das Plugin verbleiben muss, eine Web Application Firewall oder einen virtuellen Patch davor platzieren.
- Datenbankbenutzer auf die minimal nötigen Rechte beschränken und Backups aktuell halten.
- Webprotokolle auf Datenbankfehler oder ungewöhnliche Parameter bei uListing-Endpunkten prüfen.
Ausnutzung
- Bekannte Ausnutzung: keine gefunden.
- Öffentlicher Proof of Concept: keiner gefunden.
- CISA SSVC: Ausnutzung none, automatisierbar yes, technische Auswirkung partial.
- Patchstack stuft das Problem als hohe Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Alle WordPress-Seiten auf uListing in Version 2.2.0 oder tiefer prüfen.
- Plugin entfernen, wo es nicht benötigt wird.
- Wo es benötigt wird, umgehend einen virtuellen Patch oder eine WAF-Regel anwenden und den Zugriff wo möglich einschränken.
- Patchstack-Eintrag, NVD-Datensatz und Changelog des Herstellers auf eine Korrektur überwachen und sofort aktualisieren, sobald eine korrigierte Version verfügbar ist.
- Protokolle und Backups auf Anzeichen einer Kompromittierung prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-62031 patchstack.com
- OpenCVE CVE-2026-62031 app.opencve.io
- Vulners RAPID7 CVE-2026-62031 vulners.com
- HOL Guard CVE-2026-62031 hol.org
- StylemixThemes uListing free version changelog docs.stylemixthemes.com
- StylemixThemes uListing product page stylemixthemes.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.