Booking Activities WordPress-Plugin: PHP Object Injection
Zusammenfassung
Das WordPress-Plugin Booking Activities bis und mit Version 1.18.7.1 ist von einer nicht authentifizierten PHP Object Injection Schwachstelle (CWE-502) betroffen. Ein entfernter Angreifer ohne Konto und ohne Benutzerinteraktion kann manipulierte serialisierte Daten übermitteln, wodurch er die Verarbeitung von Daten durch die Website beeinflussen und schädliche Aktionen auf dem Server ausführen könnte. Das Ausmass hängt von den auf der Website verfügbaren PHP-Klassen und von weiteren installierten Plugins ab. Der CVSS-Wert beträgt 9.8 (kritisch), und Patchstack erwartet eine Ausnutzung.
Betroffen
- Booking Activities Plugin für WordPress, Versionen bis und mit 1.18.7.1
Behoben in
- Korrigierte Version nicht bestätigt. Version 1.18.8 ist laut WPScan und dem WordPress.org-Changelog ein Kandidat, aber keine Quelle verknüpft sie ausdrücklich mit CVE-2026-97248. Mit dem Patchstack-Advisory prüfen.
Umgehung
- Keine bestätigte Workaround-Massnahme des Herstellers.
- Plugin auf Websites deaktivieren, auf denen Buchungen nicht geschäftskritisch sind.
- Zugriff auf Buchungs-Endpunkte auf dem Webserver oder via WAF einschränken.
- Prüfen, ob serialisierte Daten in den Tabellen des Plugins gespeichert sind.
Ausnutzung
- CVSS 9.8, keine Authentifizierung und keine Benutzerinteraktion erforderlich.
- CISA SSVC: automatisierbar ja, technische Auswirkung total, Ausnutzung keine erfasst.
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden; dies ist nur ein fehlender Nachweis, kein Beleg für die Abwesenheit.
- Patchstack beschreibt die Schwachstelle als voraussichtlich in Massenkampagnen ausgenutzt.
- Eine ähnliche frühere Schwachstelle (CVE-2026-28176) betrifft Versionen bis 1.18.4.
Unsere Empfehlung
- Prüfen, ob auf WordPress-Websites Booking Activities 1.18.7.1 oder eine ältere Version läuft.
- Auf die neueste verfügbare Version aktualisieren, mindestens 1.18.8, und die korrigierte Version im Patchstack-Advisory bestätigen.
- Falls ein Update nicht sofort möglich ist, das Plugin deaktivieren oder den Zugriff auf seine Buchungs-Endpunkte einschränken.
- Webserver-Logs auf ungewöhnliche POST-Anfragen an Buchungs-Endpunkte prüfen.
- Weitere Updates und Advisories zu diesem Plugin verfolgen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-97248 patchstack.com
- WordPress.org plugin listing and changelog wordpress.org
- WPScan Booking Activities wpscan.com
- Strix CVE-2026-97248 www.strix.ai
- OffSeq Radar CVE-2026-97248 radar.offseq.com
- Patchstack Booking Activities vulnerabilities patchstack.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.