„`html
Zusammenfassung
Die Schwachstelle CVE-2026-12987 betrifft das WordPress-Plugin „Events Manager“ in Versionen vor 7.3.7. Sie ermöglicht PHP-Object-Injection durch unsichere Deserialisierung von Buchungsdaten im No-User-Account-Modus. Ein unauthentizierter Angreifer kann dadurch beliebige Datenbankdaten auslesen, einschlieĂźlich Passwort-Hashes und geheimer SchlĂĽssel.
Betroffene Systeme
Events Manager WordPress Plugin Versionen < 7.3.7 mit aktiviertem No-User-Account Booking Mode. Die Schwachstelle erfordert keine Authentifizierung und kann remote ausgenutzt werden. Betroffen sind alle WordPress-Installationen, die dieses Plugin in anfälligen Versionen einsetzen.
Technische Details
Die Anfälligkeit liegt in der unsicheren Behandlung von Registrierungsdaten bei Buchungen. Benutzereingaben werden als Booking-Metadaten gespeichert und anschließend mittels PHP-Deserialisierung verarbeitet, ohne die erlaubten Klassen zu validieren. Dies ermöglicht PHP-Object-Injection.
Die Gadget-Chain führt zu einer SQL-Abfrage, die ohne Prepared Statements konstruiert wird. Durch geschickt präparierte serialisierte Objekte kann ein Angreifer SQL-Injection-ähnliche Effekte erzielen und auf sensitive Datenbankeinträge zugreifen. Der Exploit wird ausgelöst, wenn die manipulierte Buchung später vom System geladen wird.
Empfohlene Massnahmen
- Sofortige Aktualisierung: Upgraden Sie Events Manager auf Version 7.3.7 oder höher
- Deaktivierung: Deaktivieren Sie das Plugin temporär, falls ein Update nicht möglich ist
- WAF-Regeln: Implementieren Sie Web Application Firewall-Regeln zur Erkennung verdächtiger Buchungsdaten
- DatenbankĂĽberwachung: Ăśberwachen Sie Zugriffe auf sensitive Tabellen (wp_users, wp_options)
- Audit: Prüfen Sie Booking-Logs auf verdächtige Einträge
Bewertung
CVSS Score: 7.5 (High)
Die Kombination aus fehlender Authentifizierung, Remote-AusfĂĽhrbarkeit und Zugriff auf kritische Daten rechtfertigt die High-Bewertung. Ein Patch ist zum aktuellen Zeitpunkt nicht verfĂĽgbar; einzige MaĂźnahme ist das sofortige Update auf die patched Version oder Deaktivierung des Plugins.
„`