Barcode Scanner with Inventory & Order Manager: SQL-Injection durch Subscriber
Zusammenfassung
Das WordPress-Plugin Barcode Scanner with Inventory & Order Manager bis und mit Version 1.13.1 enthält eine SQL-Injection-Schwachstelle (CWE-89). Ein authentifizierter Angreifer mit einem Subscriber-Konto mit niedrigen Rechten kann SQL-Befehle einschleusen, was das Lesen, Verändern oder Löschen von Datenbankinhalten ermöglichen kann, einschliesslich Benutzer- und Bestelldaten. Websites mit offener Benutzerregistrierung sind das Hauptrisiko, weil die Rolle Subscriber die Standardrolle für selbst registrierte Benutzer ist.
Betroffen
- Barcode Scanner with Inventory & Order Manager (WordPress-Plugin) bis und mit 1.13.1
Behoben in
- Version 1.13.6 (erste nicht betroffene Version laut CVE-Eintrag und Patchstack)
Umgehung
- Kein Workaround nötig, wenn das Plugin aktualisiert werden kann.
- Falls ein sofortiges Update nicht möglich ist: öffentliche Benutzerregistrierung deaktivieren oder neue Konten auf vertrauenswürdige Rollen beschränken, bestehende Subscriber-Konten prüfen, das Plugin deaktivieren, falls es nicht essenziell ist, und falls verfügbar eine Web Application Firewall mit Virtual Patching einsetzen.
Ausnutzung
- Kein öffentlicher Proof of Concept und keine bestätigte Ausnutzung gefunden.
- Nicht in CISA KEV aufgeführt. CISA SSVC: Ausnutzung none, automatisierbar no. EPSS 0.0027.
- Patchstack stuft die Schwachstelle als hohe Priorität ein, erwartet eine Ausnutzung und meldet eine Mitigationsregel.
Unsere Empfehlung
- Alle WordPress-Websites auf dieses Plugin und dessen Version prüfen.
- Auf Version 1.13.6 oder neuer aktualisieren und die Version anschliessend überprüfen.
- Subscriber-Konten und Einstellungen zur Benutzerregistrierung überprüfen.
- Falls Logging vorhanden ist, auf ungewöhnliche Datenbankfehler oder Abfragen von Subscriber-Konten prüfen.
- Das Update auf 1.13.6 deckt auch CVE-2026-62116 ab (nicht authentifiziertes XSS in denselben Plugin-Versionen).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: SQL Injection in WordPress Barcode Scanner with Inventory & Order Manager Plugin patchstack.com
- WordPress.org plugin page wordpress.org
- Vulners: CVE-2026-62117 vulners.com
- OpenCVE: CVE-2026-62117 app.opencve.io
- Vendor plugin page (UkrSolution) www.ukrsolution.com
- Vulners: CVE-2026-62116 (related XSS) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:57.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.