„`html
Zusammenfassung
Das WordPress-Plugin „Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental“ weist eine kritische SQL-Injection-SicherheitslĂĽcke auf. Die Schwachstelle (CVE-2026-12937) betrifft alle Versionen bis einschlieĂźlich 2.22.7 und ermöglicht es unauthentifizierten Angreifern, beliebige SQL-Befehle auszufĂĽhren. Der CVSS-Score von 7.5 klassifiziert diese LĂĽcke als „High“ Severity.
Betroffene Systeme
Betroffen sind WordPress-Installationen, auf denen das Tourfic-Plugin in den Versionen 2.22.7 und älter aktiv ist. Das Plugin wird typischerweise für Hotel-, Mietwagen- und Reisebuchungsfunktionalitäten verwendet. Besonders gefährdet sind öffentlich erreichbare Websites ohne zusätzliche WAF-Schutzmaßnahmen.
Technische Details
Die Schwachstelle existiert im AJAX-Handler wp_ajax_nopriv_tf_room_availability, der für unauthentifizierte Benutzer registriert ist. Der Parameter post_id wird unzureichend validiert und escaped, bevor er in eine SQL-Abfrage integriert wird. Dies ermöglicht eine generische SQL-Injection.
Der kritische Angriffsvektor liegt darin, dass die erforderliche Nonce-Verifizierung auf öffentlichen Hotel-Detailseiten exponiert wird. Angreifer können diese gültige Nonce auslesen und damit autorisierte AJAX-Anfragen mit manipulierten SQL-Payloads durchführen. Dies ermöglicht den Zugriff auf sensible Datenbankinformationen wie Benutzerdaten, Transaktionsdetails und Konfigurationsinformationen.
Empfohlene Massnahmen
- Sofortige Deaktivierung des Plugins bis zu einem Sicherheitspatch
- Überprüfung der Datenbanklogs auf verdächtige SQL-Aktivitäten
- Implementierung von Web Application Firewalls (WAF) zur Erkennung SQL-Injection-Muster
- Regelmäßige Sicherheits-Audits durchführen
- Datenbank-Backups vor und nach der Patch-Installation erstellen
Bewertung
Diese Schwachstelle stellt ein erhebliches Sicherheitsrisiko dar. Die Kombination aus fehlender Authentifizierung, offengelegter Nonce und direktem Datenbankzugriff ermöglicht einfache und effektive Angriffe. Ein Patch ist derzeit nicht verfügbar, daher ist sofortige Containment-Maßnahmen erforderlich.
„`