Tcard WP: Unauthentifizierte SQL-Injection über den Parameter group_id
Zusammenfassung
Das WordPress-Plugin Tcard WP bis einschliesslich Version 1.8.0 bereinigt und maskiert den Parameter group_id nicht, bevor er in einer SQL-Anweisung verwendet wird. Dies betrifft eine unauthentifizierte AJAX-Aktion. Jeder, der die Website erreichen kann, kann dies ohne Anmeldung ausnutzen und möglicherweise sensible Datenbankinhalte auslesen, etwa Kundendaten und Passwort-Hashes von Administratoren. Der CVSS-Vektor weist auf eine hohe Auswirkung auf die Vertraulichkeit hin, ohne Auswirkung auf Integrität oder Verfügbarkeit. Eine bereinigte Version ist nicht bekannt und eine bestätigte Ausnutzung wurde nicht gemeldet.
Betroffen
- WordPress-Plugin Tcard WP, alle Versionen bis einschliesslich 1.8.0
- Hersteller und Standardkonfiguration: Unbekannt
Behoben in
Unbekannt. WPScan gibt den Status "No known fix" an. Es wurde keine Herstellerwarnung oder Update-Mitteilung gefunden.
Umgehung
- Plugin deaktivieren und entfernen, falls es nicht geschäftskritisch ist
- Falls es verbleiben muss, den öffentlichen Zugriff auf den betroffenen AJAX-Endpunkt einschränken oder blockieren
- WAF-Regeln für SQL-Injection-Muster auf admin-ajax.php nur als temporäre Massnahme einsetzen
- Sicherstellen, dass Datenbankkonten nach dem Least-Privilege-Prinzip konfiguriert sind und Backups getestet werden
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise
- Öffentlicher Proof of Concept: Unbekannt
- Keine Berichte über Ausnutzung in freier Wildbahn gefunden; dies beweist jedoch nicht, dass keine Ausnutzung stattfindet
Unsere Empfehlung
- Alle WordPress-Installationen auf das Plugin tcard-wp und dessen Version prüfen
- Bei betroffenen öffentlichen Websites das Plugin entfernen oder deaktivieren, alternativ den Endpunkt als Übergangsmassnahme einschränken
- WordPress.org und den WPScan-Eintrag wöchentlich auf eine korrigierte Version prüfen
- Logs auf ungewöhnliche Anfragen an admin-ajax.php prüfen
- Prüfen, ob Datenbankkonten nach dem Least-Privilege-Prinzip konfiguriert sind und die Backups aktuell sind
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability entry CVE-2026-81420 wpscan.com
- OpenCVE record CVE-2026-81420 app.opencve.io
- Vulners NVD record CVE-2026-81420 vulners.com
- Vulners VulnRichment CVE-2026-81420 vulners.com
- VulDB CVE-2026-81420 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:02.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.