WP Data Access WordPress-Plugin: Blind SQL-Injection
Zusammenfassung
Das WordPress-Plugin WP Data Access bis und mit Version 5.5.82 ist anfällig für eine Blind SQL-Injection. Ein nicht authentifizierter Angreifer kann über manipulierte Anfragen Daten aus der Datenbank der Website auslesen, etwa Benutzerkonten und private Inhalte. Der CVSS-Wert beträgt 9.3 (kritisch), der Vektor weist jedoch auf eine hohe Vertraulichkeitsauswirkung und keine Integritätsauswirkung hin, weshalb die Offenlegung von Daten das Hauptrisiko ist.
Betroffen
- WP Data Access Plugin für WordPress, Versionen von n/a bis und mit 5.5.82
- Einige Quellen geben an, dass auch Version 5.5.83 betroffen sein könnte; dies ist unbestätigt.
Behoben in
- Aktualisierung auf Version 5.5.83 oder neuer (gemäss CNA und Patchstack). Ob 5.5.83 vollständig behoben ist, ist unbestätigt.
Umgehung
- Kein Workaround des Herstellers bekannt.
- Plugin deaktivieren und entfernen, falls es nicht benötigt wird.
- Zugriff auf die Admin- und API-Endpunkte des Plugins nach Möglichkeit per IP-Filter oder VPN einschränken.
- WAF-Virtual-Patching anwenden, falls der Hosting-Anbieter dies anbietet.
Ausnutzung
- Gemäss Quellen nicht aktiv ausgenutzt; nicht im CISA-KEV-Katalog.
- CISA SSVC: Exploitation none, Automatable yes.
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept in den indexierten Quellen gefunden.
- Patchstack erwartet Ausnutzung und Massenangriffe.
Unsere Empfehlung
- Prüfen, ob WP Data Access installiert ist und welche Version läuft.
- Plugin umgehend auf die neueste Version aktualisieren, mindestens 5.5.83, und die Version im WordPress.org-Changelog verifizieren.
- Plugin deaktivieren und entfernen, falls es nicht benötigt wird.
- Den von der Website verwendeten Datenbankbenutzer auf die nötigen Berechtigungen beschränken.
- Webserver-Logs auf auffällige Anfragen an das Plugin prüfen; die Website überprüfen, falls sie ungepatcht öffentlich erreichbar war.
- Weitere Sicherheitshinweise zu WP Data Access beobachten, da für dieses Plugin mehrere SQL-Injection-Probleme gemeldet wurden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB CVE-2026-95605 vuldb.com
- OpenCVE CVE-2026-95605 app.opencve.io
- Strix CVE-2026-95605 www.strix.ai
- WPScan WP Data Access wpscan.com
- WordPress.org WP Data Access wordpress.org
- TheHackerWire CVE-2026-95605 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:02.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.