WP-Partner WordPress-Plugin: Unauthentifizierte SQL-Injection über id-Parameter
Zusammenfassung
Das WordPress-Plugin WP-Partner bis einschliesslich Version 1.2.1 bereinigt und escaped einen Parameter nicht, bevor er in einer SQL-Abfrage verwendet wird. Ein unauthentifizierter Angreifer aus dem Netzwerk kann zusätzliche SQL-Abfragen anhängen und sensible Informationen aus der WordPress-Datenbank extrahieren, etwa Benutzerdaten oder Zugangsdaten. Jede öffentlich erreichbare Website mit diesem Plugin ist ohne Konto angreifbar.
Betroffen
- WordPress-Plugin WP-Partner bis einschliesslich 1.2.1
- Hersteller: Unbekannt.
Behoben in
- Unbekannt. Es ist keine korrigierte Version bekannt; WPScan führt den Status als "No known fix".
Umgehung
- Aus Herstellerquellen unbekannt. Ein WAF-Virtual-Patch könnte von Drittanbietern verfügbar sein; dies konnte nicht bestätigt werden.
- Den Zugriff auf den betroffenen Endpunkt auf Webserver- oder WAF-Ebene einschränken.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Nicht im CISA KEV gelistet.
- Öffentlicher Proof of Concept: unklar; VulDB gibt an, dass kein Exploit verfügbar ist.
Unsere Empfehlung
- Prüfen, ob das Plugin WP-Partner auf einer WordPress-Installation ist, auch auf alten oder vergessenen Websites.
- Falls es nicht benötigt wird, das Plugin deaktivieren und entfernen.
- Falls es bleiben muss, den Zugriff auf den betroffenen Endpunkt auf Webserver- oder WAF-Ebene einschränken und WordPress-Core sowie andere Plugins aktuell halten.
- Datenbank- und Webserver-Logs auf ungewöhnliche Abfragefehler oder Antworten prüfen und bei Verdacht auf Kompromittierung die Datenbank-Zugangsdaten rotieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- NVD record (via vulners) vulners.com
- VulDB CVE entry vuldb.com
- VulDB exploit status vuldb.com
- Vulners VulnCheck/Patchstack record vulners.com
- Strix CVE entry www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:54.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.