Shinetheme Traveler: Blind SQL-Injection im WordPress-Theme
Zusammenfassung
Das WordPress-Theme Traveler bis und mit Version 3.2.9 ist anfällig für Blind SQL-Injection. Ein nicht authentifizierter Angreifer kann gezielt manipulierte Anfragen senden und Datenbankinhalte wie Benutzerkonten und Kundendaten indirekt extrahieren, ohne sichtbare Fehlermeldungen. Da Blind SQL-Injection langsam und unauffällig verläuft, kann die Aktivität schwer zu erkennen sein.
Betroffen
- Shinetheme Traveler WordPress-Theme, Versionen bis und mit 3.2.9
Behoben in
- Version 3.3 oder neuer, gemäss Patchstack und CVE-Eintrag ("at least 3.3")
- Das Herstellerchangelog bestätigte die behobene Version zum Zeitpunkt der Recherche nicht; vor dem Patchen prüfen
Umgehung
- Keine bekannte Workaround-Massnahme des Herstellers.
- Patchstack hat eine Mitigationsregel (Virtual Patch) veröffentlicht, die Angriffe blockiert, bis das Update installiert ist, sofern Patchstack eingesetzt wird.
- Öffentliche Buchungs- und Admin-Endpunkte einschränken oder bis zur Installation des Updates ausser Betrieb nehmen.
- Als Übergangsmassnahme eine Web Application Firewall mit SQL-Injection-Regeln einsetzen; dies ist allgemeine Empfehlung und für diese CVE nicht validiert.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn in den geprüften Quellen gefunden.
- Kein öffentlicher Proof-of-Concept gefunden; dies ist keine bestätigte Abwesenheit.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- EPSS 0.00236 (geringe vorhergesagte Ausnutzung).
- Patchstack erwartet eine Ausnutzung und weist darauf hin, dass vergleichbare Schwachstellen in Massenangriffen eingesetzt werden.
Unsere Empfehlung
- Alle Traveler-Installationen und deren Versionen erfassen.
- Auf Version 3.3 oder neuer aktualisieren, nachdem im Herstellerchangelog bestätigt wurde, dass das Update diese CVE behebt.
- Falls ein sofortiges Update nicht möglich ist, die oben genannten Übergangsmassnahmen anwenden.
- Website und Datenbank vor dem Update sichern.
- Logs auf SQL-Fehlermeldungen und ungewöhnliche Anfragen an Buchungsendpunkte prüfen.
- Prüfen, ob personenbezogene Daten abgeflossen sein könnten, und die Pflichten nach dem revDSG beurteilen.
- Keine genullten oder raubkopierten Versionen des Themes verwenden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: WordPress Traveler theme <= 3.2.9 SQL Injection patchstack.com
- Vulners: CVE-2026-93947 (RAPID7 record, EPSS) vulners.com
- VulDB: CVE-2026-93947 vuldb.com
- Strix: CVE-2026-93947 www.strix.ai
- ThemeForest: Traveler theme (Shinetheme) themeforest.net
- Traveler theme changelog (vendor) travelerwp.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:48.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.