JNews - Pay Writer WordPress-Plugin: Blind SQL-Injection
Zusammenfassung
Das WordPress-Plugin JNews - Pay Writer (Slug jnews-pay-writer) bis und mit Version 12.0.1 enthält eine Blind-SQL-Injection-Schwachstelle. Ein nicht authentifizierter Angreifer kann durch gezielt manipulierte Anfragen an die Website Datenbankinhalte lesen, verändern oder löschen, einschliesslich Benutzerkonten und privater Daten. Der CVSS-Wert beträgt 9.3 (kritisch), wobei das Ausmass vom Vorhandensein des Plugins auf einer öffentlich erreichbaren Website abhängt.
Betroffen
- WordPress-Plugin JNews - Pay Writer, Versionen bis und mit 12.0.1 (gemäss CNA-Eintrag: "from n/a through 12.0.1")
Behoben in
- Unbekannt. Die CNA und Patchstack empfehlen ein Update auf Version 12.0.2 oder neuer, doch diese Korrektur wurde vom Hersteller nicht unabhängig bestätigt.
Umgehung
- Keine vom Hersteller veröffentlichte Massnahme gefunden.
- Plugin deaktivieren und entfernen, falls es nicht benötigt wird.
- Prüfen, ob ein Patchstack Virtual Patch oder eine WAF-Regel für diese CVE aktiv ist.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept und keine bekannte Ausnutzung in freier Wildbahn gefunden.
- EPSS 0.00229 (niedrig).
- Patchstack stuft die Schwachstelle als hohe Priorität ein und meldet, dass eine Ausnutzung wahrscheinlich ist.
Unsere Empfehlung
- Alle WordPress-Installationen auf das Plugin jnews-pay-writer und dessen Version prüfen.
- Falls installiert: Nach Bestätigung auf Version 12.0.2 oder neuer aktualisieren oder das Plugin deaktivieren und entfernen.
- Solange keine Korrektur bestätigt ist, einen WAF- oder Virtual Patch anwenden und Logs auf SQL-Fehler oder ungewöhnliche Abfragemuster überwachen.
- NVD und CISA KEV erneut prüfen, da die NVD-Analyse noch ausstand.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- CVE record (CVEProject cvelistV5) raw.githubusercontent.com
- Strix CVE entry www.strix.ai
- Vulners (Rapid7) entry vulners.com
- Threat Intel CVE entry cve.threatint.com
- Liquid Web vulnerability report, January 2026 www.liquidweb.com
- JNews v10 product information jnews.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.