Backuply WordPress-Plugin: SQL-Injection zweiter Ordnung über Wiederherstellung

Zusammenfassung

Das Backuply-Plugin für WordPress bis und mit Version 1.5.8 enthält eine SQL-Injection zweiter Ordnung im Profilfeld Biografische Angaben. Der Wert wird ungeschützt in den SQL-Dump eines Backups geschrieben und ausgeführt, wenn ein Administrator dieses Backup wiederherstellt. Ein Angreifer mit einem Konto der Stufe Subscriber oder höher kann damit Datenbankeinträge verändern, zum Beispiel die Option default_role auf administrator setzen, was zur vollständigen Übernahme der Website führen kann.

Betroffen

• Backuply-Plugin für WordPress, alle Versionen bis und mit 1.5.8
• Version 1.6.0 wird nur von einer einzelnen, nicht verifizierten Sekundärquelle erwähnt und ist nicht bestätigt.

Behoben in

• Version 1.5.9 (von Wordfence und WPScan als korrigierte Version angegeben)

Umgehung

• Kein vom Hersteller veröffentlichter Workaround gefunden.
• Wordfence meldet, dass Premium-, Care- und Response-Kunden am 24. September 2026 eine Firewall-Regel erhalten haben. Dies ist kein Ersatz für das Patchen.
• Backups aus nicht vertrauenswürdigen Quellen nicht wiederherstellen.

Ausnutzung

• Wordfence hat die Meldung validiert und einen Proof of Concept bestätigt.
• Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Laut einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog; nicht direkt überprüft.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Backuply auf Version 1.5.9 oder höher aktualisieren und die installierte Version im WordPress-Plugin-Bildschirm prüfen.
• Websites mit offener Benutzerregistrierung und Websites, auf denen Backups manuell wiederhergestellt werden, priorisieren.
• Nach jeder Wiederherstellung Benutzerkonten und die Option default_role in der Datenbank prüfen.
• Registrierung von Benutzern einschränken, wo sie nicht benötigt wird, und auf neue Administratorkonten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• WordPress plugin changeset 3723257 plugins.trac.wordpress.org
• WPScan Backuply plugin wpscan.com
• NVD record via Vulners vulners.com
• Patchstack via Vulners vulners.com
• Malware.news Wordfence reproduction malware.news
• IT-Connect article on Backuply SQL flaw www.it-connect.tech
• Strix AI CVE record www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:17.