Taskbuilder WordPress-Plugin: Blind SQL-Injection
Zusammenfassung
Das WordPress-Plugin Taskbuilder bis einschliesslich Version 6.0.5 ist von einer Blind SQL-Injection-Schwachstelle (CWE-89) betroffen. Ein authentifizierter Angreifer mit niedrigen Rechten, etwa einem Subscriber-Konto, kann unter Umständen über das Netzwerk Datenbankinhalte lesen oder verändern. Patchstack stuft die Lücke als hohe Priorität ein, eine öffentliche Ausnutzung ist jedoch nicht bekannt und die behobene Version konnte nicht bestätigt werden.
Betroffen
- Taskbuilder WordPress-Plugin, Versionen bis einschliesslich 6.0.5 (gemäss CVE-Eintrag; der Versionsbereich ist unverifiziert, da andere Taskbuilder-Warnungen die Nummerierung 5.0.x verwenden)
- Erforderliche Berechtigung: Subscriber (gemäss Patchstack)
Behoben in
- Unbekannt. Patchstack nennt 6.0.6 als gepatchte Version, dies konnte jedoch nicht unabhängig verifiziert werden.
- Auf die neueste verfügbare Version aktualisieren und das Changelog des Herstellers auf SQL-Injection-Korrekturen prüfen.
Umgehung
- Plugin deaktivieren, falls es nicht zwingend benötigt wird.
- Kontoregistrierung einschränken und Konten mit Subscriber-Berechtigung überprüfen.
- Falls verfügbar, WAF-Virtual-Patching verwenden (Patchstack bietet eine Mitigationsregel an).
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS-Wert 0.00205 (niedrig).
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
Unsere Empfehlung
- Alle WordPress-Websites mit Taskbuilder identifizieren und die installierte Version erfassen.
- Taskbuilder dort deaktivieren, wo es nicht benötigt wird; wo es benötigt wird, auf die neueste Version aktualisieren (gemäss Patchstack mindestens 6.0.6) und die Behebung überprüfen.
- Nicht benötigte Konten mit Subscriber-Berechtigung entfernen.
- Auf langsame Antworten bei Plugin-Endpunkten und ungewöhnliche POST-Anfragen an Taskbuilder-AJAX-Aktionen achten.
- NVD-Eintrag und Patchstack-Seite auf einen bestätigten betroffenen Bereich und die behobene Version prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: WordPress Taskbuilder plugin <= 6.0.5 SQL Injection patchstack.com
- Strix: CVE-2026-95599 www.strix.ai
- Vulners: RAPID7 CVE-2026-95599 vulners.com
- Wordfence: Taskbuilder authenticated Subscriber SQL injection www.wordfence.com
- Patchstack: WordPress Taskbuilder plugin <= 5.0.7 SQL Injection patchstack.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.