WP Data Access: Unauthentifizierte SQL-Injection
Zusammenfassung
Das WordPress-Plugin WP Data Access in den Versionen bis und mit 5.5.84 ist anfällig für eine SQL-Injection, die ohne Anmeldung ausgenutzt werden kann. Ein Angreifer kann Datenbankinhalte lesen, verändern oder löschen, einschliesslich Benutzerkonten und privater Daten. Für den Angriff genügt Netzwerkzugriff auf eine öffentlich erreichbare WordPress-Website, auf der das betroffene Plugin läuft.
Betroffen
- WP Data Access WordPress-Plugin, Versionen <= 5.5.84
Behoben in
- Version 5.5.85 oder neuer (gemäss CVE-Eintrag und Patchstack)
- Die neueste Version auf WordPress.org ist 5.5.90
Umgehung
- Dem Hersteller ist keine Workaround-Lösung bekannt.
- Plugin deaktivieren und entfernen, falls es nicht zwingend benötigt wird.
- Den Zugriff auf die Plugin-Funktionen nach Möglichkeit einschränken.
- Auf eine WAF nicht als verifizierte Lösung vertrauen, solange der Hersteller oder ein Sicherheitsanbieter die Regel nicht bestätigt.
Ausnutzung
- Ausnutzung ohne Authentifizierung über das Netzwerk mit geringer Komplexität (CVSS 3.1: 8.2).
- CISA SSVC: Exploitation none, automatable yes.
- Nicht im CISA-KEV-Katalog aufgeführt.
- In einer begrenzten Recherche wurde kein öffentlicher Proof of Concept und keine bestätigte Ausnutzung gefunden.
- Patchstack erwartet eine Ausnutzung und gibt an, dass die Schwachstelle in Massenangriffen eingesetzt wird.
Unsere Empfehlung
- Alle WordPress-Websites inventarisieren und prüfen, ob WP Data Access installiert ist und welche Version läuft.
- Plugin auf Version 5.5.85 oder neuer aktualisieren, idealerweise auf die neueste 5.5.x-Version.
- Falls ein Update nicht rasch möglich ist, zuerst das Plugin auf öffentlich erreichbaren Websites deaktivieren.
- Datenbank vor und nach dem Update sichern und prüfen, ob das Datenbankkonto nur die nötigen Berechtigungen hat.
- Datenbank- und Webserver-Logs auf ungewöhnliche Datenbankfehler oder Abfragemuster prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory for CVE-2026-93621 patchstack.com
- WordPress.org plugin page WP Data Access wordpress.org
- WPScan plugin page WP Data Access wpscan.com
- Strix CVE record CVE-2026-93621 www.strix.ai
- Patchstack advisory for earlier SQL injection in WP Data Access (5.5.70) patchstack.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.