Click n Chat WordPress-Plugin: Unauthentifizierte SQL-Injection
Zusammenfassung
Das WordPress-Plugin Click n Chat (Chat Widget Integration) validiert den Parameter 'datacolumn' nicht korrekt, bevor er als Spaltenbezeichner in einer SQL-Abfrage verwendet wird. Ein nicht authentifizierter Angreifer kann über eine manipulierte HTTP-Anfrage SQL-Befehle einschleusen und Datenbankinhalte auslesen, etwa Benutzerkonten und Passwort-Hashes. Eine Anmeldung ist nicht erforderlich, daher ist jede öffentlich erreichbare WordPress-Seite mit diesem Plugin gefährdet.
Betroffen
- Click n Chat (Chat Widget Integration) WordPress-Plugin, alle Versionen vor 1.1.3
- Untere Grenze der betroffenen Versionen: Unbekannt.
Behoben in
- Version 1.1.3 und neuer (gemäss WPScan).
Umgehung
- Kein Workaround des Herstellers gefunden.
- Falls kein Update möglich ist, das Plugin deaktivieren oder entfernen.
Ausnutzung
- CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung partiell.
- Nicht im CISA-KEV-Katalog aufgeführt. Keine bestätigte Ausnutzung gefunden.
- Öffentlicher Proof of Concept: nicht bestätigt.
Unsere Empfehlung
- Alle WordPress-Seiten, einschliesslich Kundenseiten, auf das Plugin click-n-chat prüfen und die Versionen erfassen.
- Das Plugin auf allen Seiten auf Version 1.1.3 oder neuer aktualisieren, zuerst öffentlich erreichbare Seiten.
- Falls kein Update möglich ist, das Plugin deaktivieren.
- Web-Server- und WordPress-Logs auf ungewöhnliche Anfragen an die Endpunkte des Plugins prüfen. Den Fehler nicht auf Produktivsystemen testen.
- Nach dem Patchen Administratorkonten prüfen und auf Seiten, die während der Verwundbarkeit exponiert waren, Datenbank- und Administratorzugangsdaten erneuern.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan: Click n Chat < 1.1.3 - Unauthenticated SQLi via 'datacolumn' Parameter wpscan.com
- OpenCVE: CVE-2026-92997 app.opencve.io
- VulDB: CVE-2026-92997 vuldb.com
- Vulners VulnCheck/Vulnrichment: CVE-2026-92997 vulners.com
- ThreatInt: CVE-2026-92997 cve.threatint.com
- Strix: CVE-2026-92997 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:23.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.