UpSolution Core (WordPress-Plugin): Blind SQL Injection
Zusammenfassung
UpSolution Core, ein WordPress-Plugin, ist in den Versionen bis und mit 9.3 anfällig für Blind SQL Injection. Ein Angreifer kann Datenbankinhalte lesen, ändern oder löschen, einschliesslich Benutzerkonten und privater Daten. Patchstack gibt an, dass die Lücke ohne Anmeldung ausnutzbar ist, während der CVSS-Vektor des CNA eine Berechtigung mit niedrigen Rechten voraussetzt; dieser Widerspruch ist ungeklärt. Der Status der Ausnutzung ist umstritten.
Betroffen
- UpSolution Core (WordPress-Plugin, Slug us-core), Versionen 0 bis 9.3
- Versionen bis und mit 9.3 gelten als betroffen.
Behoben in
- Version 9.3.1 (laut Patchstack und WPScan; keine Bestätigung durch den Hersteller gefunden)
Umgehung
- Dem Hersteller ist kein Workaround bekannt.
- Falls ein Update nicht möglich ist, das Plugin deaktivieren.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar.
- Patchstack markiert die Lücke als bereits ausgenutzt (KEV); nicht verifiziert.
- Ein nicht verifizierter GitHub-Threat-Intel-Index enthält das Tag 'Confirmed Exploitation'; nicht bestätigt.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle WordPress-Seiten mit us-core inventarisieren und deren Versionen erfassen.
- So rasch wie möglich auf Version 9.3.1 oder neuer aktualisieren.
- Falls ein Update nicht möglich ist, das Plugin deaktivieren.
- Datenbankinhalte und Administratorkonten betroffener Seiten auf Anzeichen einer Kompromittierung prüfen.
- Den Status der Ausnutzung und die Anforderung an die Authentifizierung anhand des Patchstack-Advisory überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory for UpSolution Core 9.3 SQL injection patchstack.com
- WPScan plugin page: UpSolution Core wpscan.com
- Miggo vulnerability database: CVE-2026-95610 www.miggo.io
- Strix CVE entry: CVE-2026-95610 www.strix.ai
- OffSeq Radar: CVE-2026-95610 radar.offseq.com
- Patchstack-derived mirror: CVE-2026-95610 cve.imfht.com
- GitHub threat-intel index, 29 Oct 2026 (unverified exploitation tag) github.com
- Impreza / UpSolution Core plugin help page (vendor) help.us-themes.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:03.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.