WordPress Plugin erlaubt SQL-Einspeisungsangriff

Laut einer Meldung der Sicherheitsexperten von Secunia tritt die Schwachstelle in Version 2.0r2 des WordPress Plugin „Events Manager“ auf. Ältere Versionen des Plugin sind unter Umständen ebenfalls betroffen.

Die Sicherheitslücke entsteht bei der Übergabe von Eingaben des Parameters „event_id“ an die Event Seite. Durch die mangelhafte Bereinigung dieser Eingaben können Angreifer beliebigen SQL-Code integrieren und damit direkt auf die Datenbank eines betroffenen Systems zugreifen. Ein Patch oder Update liegt bislang nicht vor. (vgw)