EduAdmin Booking WordPress-Plugin: Blind SQL-Injection
Zusammenfassung
Das WordPress-Plugin EduAdmin Booking von MultiNet Interactive AB enthält in Versionen vor 6.0.0 eine Blind-SQL-Injection-Schwachstelle. Ein nicht angemeldeter Angreifer kann über die Buchungsseiten präparierte Anfragen senden und so Datenbankinhalte wie Kunden- und Buchungsdaten auslesen. Es ist weder eine Anmeldung noch eine Benutzerinteraktion nötig, der CVSS-Wert beträgt 9.3 (kritisch), der genaue Umfang der betroffenen Versionen ist jedoch zwischen den Quellen umstritten.
Betroffen
- WordPress-Plugin EduAdmin Booking (Slug eduadmin-booking) vor 6.0.0 (Bereich gemäss CNA und NVD)
- VulDB beschreibt den Bereich als bis 5.x (widersprüchliche Angaben)
Behoben in
- Version 6.0.0 (Changelog auf WordPress.org, 2026-09-04)
- Das Changelog nennt keine SQL-Injection; die Behebung ist nur durch Drittquellen bestätigt.
Umgehung
- Unbekannt. Kein durch den Hersteller bestätigter Workaround gefunden.
- Allgemeine Härtung: Zugriff des Applikationsservers auf interne Ressourcen einschränken und ausgehende Datenbankverbindungen auf notwendige Hosts begrenzen.
- Mit dem Kunden klären, ob das Plugin ohne Verlust von Buchungen deaktiviert werden kann.
Ausnutzung
- Nicht im CISA KEV gelistet. EPSS 0.00243 (0 %).
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
- Kein öffentlicher Proof of Concept gefunden. In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
- Patchstack stuft das Problem als hohe Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Alle WordPress-Seiten mit EduAdmin Booking identifizieren und die installierte Version prüfen.
- Auf Version 6.0.0 oder neuer aktualisieren und die Version anschliessend überprüfen.
- Web- und Datenbanklogs seit Anfang September 2026 auf ungewöhnliche Abfragen gegen die Buchungsseiten prüfen.
- Den Status der Behebung mit MultiNet oder dem Patchstack-Advisory bestätigen, da kein Herstellerhinweis gefunden wurde.
- CVE-2026-62101 (fehlerhafte Authentifizierung, Versionen 5.4.2 und älter) betrifft ebenfalls diese Versionen, daher dringend aktualisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Rapid7 vulnerability database www.rapid7.com
- Vulners (Rapid7 record) vulners.com
- WordPress.org plugin page wordpress.org
- VulDB entry vuldb.com
- Strix CVE details www.strix.ai
- The Hacker Wire www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.