tagDiv Opt-In Builder: Unauthentifizierte SQL-Injection (blind) im WordPress-Plugin
Zusammenfassung
Das WordPress-Plugin tagDiv Opt-In Builder (td-subscription) bis und mit Version 1.7.6 enthält eine Blind-SQL-Injection-Schwachstelle (CWE-89). Die Schwachstelle kann ohne Anmeldung ausgelöst werden, weshalb ein Angreifer potenziell Datenbankinhalte lesen, verändern oder löschen kann, einschliesslich Benutzerkonten und Abonnentendaten. Patchstack stuft das Problem als kritisch (CVSS 9.3) ein und beschreibt es als hochgefährlich, eine bestätigte Ausnutzung in freier Wildbahn ist jedoch nicht bekannt.
Betroffen
- tagDiv Opt-In Builder WordPress-Plugin (Slug td-subscription), Versionen bis und mit 1.7.6
- Erforderliche Berechtigung: keine (unauthentifiziert)
Behoben in
- Version 1.7.7 (laut Patchstack); auf Version 1.7.7 oder neuer aktualisieren
- Bestätigung des Fixes durch den Hersteller: Unbekannt.
Umgehung
- Vom Hersteller: Unbekannt.
- Falls ein Update nicht sofort möglich ist, den Hostinganbieter oder Webentwickler um Unterstützung bitten. Eine Web Application Firewall oder ein Virtual Patch kann Angriffe als Übergangsmassnahme blockieren; die Wirksamkeit für diese CVE ist nicht verifiziert.
- Falls das Plugin nicht benötigt wird, es bis zum Patch deaktivieren.
Ausnutzung
- Ausnutzung in freier Wildbahn: Unbekannt. Keine Bestätigung gefunden.
- CISA KEV: nicht gelistet (gemäss Recherchenotizen).
- Öffentlicher Proof of Concept: keiner gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- EPSS: etwa 0.002 laut einem Aggregator.
Unsere Empfehlung
- Alle WordPress-Seiten auf das Plugin tagDiv Opt-In Builder prüfen, auch Kundenseiten.
- Das Plugin prioritär auf Version 1.7.7 oder neuer aktualisieren, besonders auf Seiten mit Abonnenten- oder Kundendaten.
- Falls kein Update möglich ist, das Plugin deaktivieren oder eine WAF-Regel einsetzen und den Hostinganbieter oder Webentwickler einbeziehen.
- Web- und Datenbanklogs auf ungewöhnliche Datenbankfehler oder langsame Anfragen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-96330 patchstack.com
- CVE record threatint mirror cve.threatint.com
- Strix AI CVE overview www.strix.ai
- tagDiv Opt-In Builder product page tagdiv.com
- Vulners Rapid7 record vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.