tagDiv Opt-In Builder: SQL-Injection im td-subscription-Plugin

Zusammenfassung

Das WordPress-Plugin tagDiv Opt-In Builder (Komponente td-subscription) in den Versionen bis einschliesslich 1.7.6 enthält eine Blind-SQL-Injection-Schwachstelle. Ein Angreifer kann über gezielt präparierte Anfragen an das Plugin Daten in der WordPress-Datenbank lesen, verändern oder löschen, einschliesslich Benutzerkonten. Der CVSS-Wert von 8.5 setzt voraus, dass niedrige Berechtigungen nötig sind, doch ein verwandter Eintrag (CVE-2026-96330) für dasselbe Plugin und dieselbe Korrekturversion behauptet eine Ausnutzung ohne Authentifizierung, weshalb die tatsächliche Gefährdung höher sein kann.

Betroffen

• tagDiv Opt-In Builder WordPress-Plugin, Versionen bis einschliesslich 1.7.6
• Die Angaben zum Versionsbereich unterscheiden sich je nach Quelle: 'from n/a through 1.7.6' (CVE-Eintrag) und '<1.7.7' (Aggregator)
• Benötigte Berechtigung: niedrig (CVSS-Vektor PR:L) gemäss diesem CVE; ohne Authentifizierung gemäss Patchstack-Eintrag zu CVE-2026-96330 (ungeklärt)

Behoben in

• Version 1.7.7 oder neuer (gemäss Patchstack; noch nicht im Changelog des Herstellers bestätigt)

Umgehung

• Kein vom Hersteller veröffentlichter Workaround gefunden.
• Patchstack empfiehlt das Aktualisieren des Plugins; wenn dies nicht möglich ist, sollte der Hosting-Anbieter oder der Webentwickler um Unterstützung gebeten werden.
• Patchstack hat eine Mitigationsregel (Virtual Patch) für diese Schwachstelle bereitgestellt.

Ausnutzung

• In freier Wildbahn: kein bestätigter Nachweis. Patchstack erwartet eine Ausnutzung, dies ist jedoch eine Prognose.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
• Gemäss Strix nicht als KEV gelistet.
• Öffentlicher Proof of Concept: keiner für dieses CVE gefunden.

Unsere Empfehlung

• Das Plugin auf allen WordPress-Websites auf Version 1.7.7 oder neuer aktualisieren und danach die installierte Version überprüfen.
• Die Korrektur mit dem Changelog des Herstellers abgleichen, da 1.7.7 noch nicht vom Hersteller bestätigt ist.
• Falls das Plugin nicht zwingend benötigt wird, deaktivieren.
• Den Zugriff auf seine Endpunkte einschränken und bis zur Aktualisierung eine WAF oder Virtual Patching einsetzen.
• Datenbank und Benutzerkonten auf Anzeichen einer Kompromittierung prüfen, insbesondere bei öffentlichen Websites mit aktivierter Benutzerregistrierung.
• Die Schwachstelle als hohe Priorität behandeln, bis der Zusammenhang mit CVE-2026-96330 geklärt ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack: WordPress tagDiv Opt-In Builder plugin <= 1.7.6 SQL Injection patchstack.com
• Patchstack: tagDiv Opt-In Builder SQL Injection (alternative entry) patchstack.com
• Vulners: CVE-2026-96329 vulners.com
• Strix: CVE-2026-96329 www.strix.ai
• OffSeq Radar: CVE-2026-96329 radar.offseq.com
• tagDiv: Opt-In Builder tagdiv.com
• Singapore security bulletin, 14 Oct 2026 isomer-user-content.by.gov.sg
• CVE-2026-96330 record (related entry) cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:03.