Event Tickets: SQL-Injection im ORDER BY über den Array-Parameter orderby

Zusammenfassung

Event Tickets ist ein WordPress-Plugin für Event-Ticketing und Anmeldungen. Aufgrund einer Schwachstelle bei der Eingabevalidierung im Bericht der Tickets-Commerce-Bestellungen kann ein Benutzer mit Contributor-Rechten über die Array-Form des Parameters orderby SQL einschleusen, wobei die Sortierrichtung die bestehende Prüfung auf ASC und DESC umgeht. Ein Angreifer kann diese Blind SQL Injection nutzen, um beliebige Tabellen der Datenbank auszulesen, einschliesslich Passwort-Hashes von Administratoren, E-Mail-Adressen von Benutzern und Bestelldaten wie Namen von Käufern und Zahlungsmetadaten. Der Angriff setzt voraus, dass Tickets Commerce aktiviert ist und mindestens eine Bestellung existiert.

Betroffen

• Event Tickets WordPress-Plugin bis und mit 5.29.5
• Die früheste betroffene Version ist nicht angegeben ("n/a" im CVE-Eintrag)

Behoben in

• Event Tickets 5.29.5.1 (gemäss CVE-Eintrag, Patchstack und Intrudify)

Umgehung

• Unbekannt. Es wurde keine vom Hersteller bestätigte Massnahme gefunden.
• Bis zum Update Rollen Contributor und höher auf vertrauenswürdige Personen beschränken und nicht benötigte Konten entfernen.
• Das Plugin auf Websites deaktivieren, auf denen das Ticketing nicht geschäftskritisch ist.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn.
• CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact partial.
• Der Melder (Intrudify) hat technische Details veröffentlicht.

Unsere Empfehlung

• Event Tickets auf 5.29.5.1 oder neuer aktualisieren. Die fixe Version im Changelog auf WordPress.org oder auf der Patchstack-Seite überprüfen.
• CVE-2026-97634 gleichzeitig patchen, da Patchstack angibt, dass dieser denselben Sachverhalt beschreibt.
• Prüfen, welche Konten Contributor-Rechte oder höher haben, und nicht benötigte Konten entfernen. Offene Registrierung deaktivieren, falls nicht benötigt.
• Datenbank- und Webserver-Logs auf ungewöhnliche Datenbankfehler oder lang laufende Anfragen auf Bestell- und Ticketseiten prüfen.
• Vor dem Update ein Backup erstellen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack: WordPress Event Tickets Plugin <= 5.29.5 SQL Injection patchstack.com
• Intrudify: CVE-2026-97287 advisory intrudify.com
• OpenCVE: CVE-2026-97287 app.opencve.io
• GitHub: Event Tickets release 5.29.5 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:42.