GamiPress: Blind-SQL-Injection im WordPress-Plugin
Zusammenfassung
GamiPress, ein WordPress-Plugin, enthält in den Versionen bis und mit 8.0.2 eine Blind-SQL-Injection-Schwachstelle (CWE-89). Ein Angreifer kann über manipulierte Anfragen an die Website Datenbankinhalte lesen, verändern oder löschen, einschliesslich Benutzerkonten und privater Daten. Die Quellen widersprechen sich, ob eine Authentifizierung nötig ist, daher ist vom ungünstigsten Fall auszugehen. Der Ausnutzungsstatus ist widersprüchlich und nicht verifiziert.
Betroffen
- GamiPress WordPress-Plugin 8.0.2 und frühere Versionen (untere Grenze nicht angegeben)
Behoben in
- 8.0.3 (gemäss CVE-Eintrag und Patchstack)
- Eine spätere Version, 8.0.8, wird in einer verwandten Patchstack-Meldung zu einer anderen CVE genannt; für diese CVE nicht bestätigt
Umgehung
- Vom Hersteller unbekannt.
- Patchstack meldet für seine Kunden eine Schutzregel, die Angriffe blockiert; dies ist ein virtueller Patch und keine Herstellerkorrektur.
- Falls kein Update möglich ist, den Hostinganbieter oder den Webentwickler um Unterstützung bitten.
Ausnutzung
- Widersprüchlich: Vulners führt einen 'exploited'-Eintrag mit Verweis auf CISA KEV vom 18. Okt. 2026 und einen VulnCheck-KEV-Eintrag vom 19. Okt. 2026. Nicht verifiziert.
- Strix zeigt auf einer älteren Seite 'KEV: No'.
- Patchstack erwartet Ausnutzung und Massenkampagnen; dies ist eine Prognose.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, teilweise technische Auswirkung.
- Öffentlicher Proof of Concept: Unbekannt.
Unsere Empfehlung
- Jetzt prüfen, ob GamiPress installiert ist und welche Version aktiv ist.
- Auf die neueste Version aktualisieren (mindestens 8.0.3; eine spätere Meldung nennt 8.0.8).
- Falls das Patchen verzögert wird, eine WAF oder virtuelles Patching einsetzen und das Plugin deaktivieren, falls es nicht essenziell ist.
- Logs auf ungewöhnliche Datenbankabfragen prüfen und Benutzerkonten auf unautorisierte Änderungen kontrollieren.
- Die Priorität nicht senken, nur weil der NVD-Status 'Deferred' ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: GamiPress SQL injection (8.0.2) patchstack.com
- Vulners: CIRCL:CVE-2026-94177 vulners.com
- Strix: CVE-2026-94177 www.strix.ai
- Patchstack: GamiPress vulnerability list patchstack.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:43.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.