„`html
Zusammenfassung
Die SicherheitslĂĽcke CVE-2026-10835 betrifft das SALESmanago & Leadoo WordPress-Plugin in Versionen vor 3.11.3. Eine unzureichende Eingabevalidierung in einer AJAX-Aktion ermöglicht authentifizierten Benutzern mit minimalen Berechtigungen (beispielsweise Abonnenten) die DurchfĂĽhrung von SQL-Injection-Angriffen. Die Schwachstelle wird mit CVSS 7.7 als „High“ bewertet.
Betroffene Systeme
Betroffen sind WordPress-Installationen, auf denen das Plugin „SALESmanago & Leadoo“ in einer Version älter als 3.11.3 aktiviert ist. Das Plugin wird häufig fĂĽr CRM-Integration und Lead-Management eingesetzt. Jede WordPress-Installation mit diesem Plugin ist potenziell gefährdet, unabhängig von der Konfiguration oder zusätzlichen SicherheitsmaĂźnahmen.
Technische Details
Die Schwachstelle liegt in einer AJAX-Action des Plugins. Ein Parameter wird nicht ausreichend sanitiert und escaped, bevor dieser in eine SQL-Anweisung eingefĂĽgt wird. Zusätzlich fehlt die ordnungsgemäße AutorisierungsprĂĽfung (Authorization Check) auf dieser Action. Dies ermöglicht es Benutzern mit der Rolle „Subscriber“ oder ähnlichen minimalen Berechtigungen, direkt SQL-Queries zu manipulieren. Ein Angreifer kann dadurch sensible Daten auslesen, verändern oder löschen.
Empfohlene Massnahmen
1. Sofortige Aktualisierung des Plugins auf Version 3.11.3 oder höher durchführen.
2. Sollte eine zeitnahe Aktualisierung nicht möglich sein, das Plugin deaktivieren und entfernen.
3. Datenbankzugriffe und Logs auf verdächtige SQL-Queries überprüfen.
4. WordPress-Benutzerberechtigungen überprüfen und unnötige Subscriber-Konten entfernen.
5. WordPress-Sicherheits-Plugins (WAF) aktivieren, um SQL-Injection-Versuche zu blockieren.
Bewertung
Mit einem CVSS-Score von 7.7 und aufgrund der niedrigen Zugriffsanforderungen (authentifizierte Subscriber) besteht ein erhebliches Sicherheitsrisiko. Die Abwesenheit eines Patches erhöht die Dringlichkeit eines Plugin-Updates. Diese Schwachstelle sollte mit höchster Priorität adressiert werden.
„`