🟡 CVE-2026-16087: Medium Schwachstelle

„`html

Zusammenfassung

Das WordPress-Plugin „Icegram Engage – Popups, Optins, CTAs & Lead Generation“ ist anfällig für eine Second-Order SQL Injection über den Parameter ‚messages[][id]‘ in allen Versionen bis einschließlich 3.1.42. Die Schwachstelle ermöglicht authentifizierten Angreifern mit Editor-Level-Berechtigung oder höher, unbefugte SQL-Abfragen auszuführen und sensible Datenbankeinträge auszulesen. Derzeit liegt kein Patch vor.

Betroffene Systeme

Das WordPress-Plugin Icegram Engage in den Versionen bis 3.1.42 ist betroffen. Installationen, die dieses Plugin verwenden, insbesondere auf Multiuser-WordPress-Instanzen mit mehreren Editoren oder Benutzern mit Contributor-Rechten oder höher, sind gefährdet.

Technische Details

Die Schwachstelle ist zweistufig (Second-Order SQL Injection). Im ersten Schritt wird ein böswilliger Wert durch die AJAX-Aktion save_campaign_preview() in Post-Meta-Daten gespeichert. Diese Aktion ist durch einen Nonce-Check und die Berechtigung ‚edit_post‘ geschützt. Im zweiten Schritt wird der manipulierte Wert bei einer Preview-Anfrage durch die Funktion get_message_data() direkt in eine SQL IN()-Klausel ohne $wpdb->prepare() oder Integer-Cast interpoliert.

Der Fehler resultiert aus unzureichender Filterung des Benutzereingabe-Parameters sowie mangelnder Vorbereitung der SQL-Abfrage. Ein Angreifer kann dadurch zusätzliche SQL-Befehle injizieren und auf vertrauliche Daten zugreifen.

Empfohlene Massnahmen

• Deaktivieren und deinstallieren Sie das Plugin, bis ein Sicherheits-Patch verfügbar ist
• Beschränken Sie Editor- und Contributor-Rollen auf vertrauenswürdige Benutzer
• Implementieren Sie regelmäßige SQL-Query-Logging und Monitoring
• Überprüfen Sie Zugriffslogs auf verdächtige Datenbankzugriffe
• Überwachen Sie offizielle Plugin-Updates und Security-Advisories

Bewertung

CVSS-Score: 6.5 (Medium)

Die Schwachstelle erfordert Authentifizierung und erhöhte Berechtigungen, wird aber durch die Second-Order-Injections-Methode komplexer. Das fehlende Patch-Update stellt ein fortbestehendes Risiko dar.

„`