CubeWP Framework (WordPress) – SQL-Injection über cubewp_remove_relation()

Beschreibung

Das WordPress-Plugin CubeWP Framework ist in allen Versionen bis einschliesslich 1.1.30 über die AJAX-Aktion cubewp_remove_relation() für SQL-Injection anfällig; Ursache ist eine unzureichende Eingabevalidierung. Die Schwachstelle ist über das Netzwerk mit geringer Angriffskomplexität ausnutzbar und setzt niedrige Rechte, aber keine Nutzerinteraktion voraus. Betroffen ist ausschliesslich die Vertraulichkeit der Daten. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: Aktualisierung auf eine Version nach 1.1.30.

Changelog

1. 2026-08-01 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in WordPress (Patchstack)

• WordPress Core SQL Injection Vulnerability KEV CVE-2026-60137
• WordPress – Route Confusion im REST-API-Batch-Endpoint KEV CVE-2026-63030
• WebPros cPanel & WHM / WP Squared – Fehlende Authentifizierung für kritische Funktion KEV CVE-2026-41940
• PHPMailer Command Injection Vulnerability KEV CVE-2016-10033
• WordPress Social Warfare Plugin – Cross-Site Scripting (XSS) KEV CVE-2019-9978
• WordPress Snap Creek Duplicator Plugin – Datei-Download KEV CVE-2020-11738