Click n Chat WordPress-Plugin: SQL-Injection über Sortierparameter
Zusammenfassung
Das WordPress-Plugin Click n Chat (Chat Widget Integration) prüft die Parameter 'sort_by' und 'sort_order' nicht, bevor sie in einer SQL-ORDER-BY-Klausel verwendet werden. Ein nicht authentifizierter Angreifer kann über gezielt manipulierte Anfragen SQL einschleusen und so Datenbankinhalte auslesen oder verändern. Die Schwachstelle ist auf jeder öffentlich erreichbaren WordPress-Seite ausnutzbar, auf der die betroffene Plugin-Version aktiv ist.
Betroffen
- WordPress-Plugin Click n Chat (Chat Widget Integration), Versionen 1.0.4 bis 1.1.2
- Versionen vor 1.0.4: Unbekannt.
- Der betroffene Bereich wird in den Quellen unterschiedlich angegeben (VulDB: bis 1.1.2; Strix: >= 1.0.4, < 1.1.3).
Behoben in
- Version 1.1.3 (WPScan nennt diese Version als behoben; Bestätigung des Herstellers zum Changelog von 1.1.3: Unbekannt.)
Umgehung
- Als primäre Massnahme auf Version 1.1.3 oder neuer aktualisieren.
- Bis zur Aktualisierung kann eine Web-Application-Firewall-Regel auffällige Parameter 'sort_by' und 'sort_order' ablehnen oder bereinigen. Dies ist ein Vorschlag Dritter und kann umgangen werden, daher nur vorübergehend einsetzen.
- Falls das Plugin nicht benötigt wird, deaktivieren und entfernen.
Ausnutzung
- CISA KEV: nicht gelistet (nicht auf der CISA-Website verifiziert).
- EPSS: 0.00359 (sehr niedrige prognostizierte Ausnutzungswahrscheinlichkeit).
- CISA SSVC: Exploitation none, automatable yes, technische Auswirkung partial.
- Öffentlicher Proof of Concept: Unbekannt.
- Keine Berichte über Ausnutzung in freier Wildbahn gefunden.
Unsere Empfehlung
- Prüfen, ob das Plugin Click n Chat auf einer WordPress-Seite installiert ist, insbesondere auf öffentlich erreichbaren Seiten mit Kundendaten.
- Plugin auf Version 1.1.3 oder neuer aktualisieren. Dies behebt auch CVE-2026-92997 (SQL-Injection über den Parameter 'datacolumn'), der in derselben Version behoben ist.
- Webserver-Logs auf Anfragen mit auffälligen Parametern 'sort_by' oder 'sort_order' prüfen.
- Installierte Version und den Changelog von 1.1.3 direkt auf der Plugin-Seite überprüfen, da keine Herstellerbestätigung gefunden wurde.
- Auf Anzeichen weiterer Ausnutzung achten und die WPScan-Seite auf Aktualisierungen zu Proof-of-Concept-Material prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- VulDB entry vuldb.com
- OpenCVE CVE-2026-92998 app.opencve.io
- Vulners VULNRICHMENT CVE-2026-92998 vulners.com
- Strix CVE-2026-92998 www.strix.ai
- WordPress.org plugin page (Click n Chat) wordpress.org
- WPScan CVE-2026-92997 record wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:23.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.