WordPress-Plugin „Paid Membership Subscriptions“: SQL-Injection-Lücke geschlossen

Im beliebten WordPress-Plugin „Paid Membership Subscriptions“, das auf mehr als 10.000 Websites für die Verwaltung von Mitgliedschaften und wiederkehrenden Zahlungen eingesetzt wird, ist eine kritische Sicherheitslücke entdeckt worden.

Betroffen sind die Versionen 2.15.1 und älter. Die Schwachstelle, die unter der Kennung CVE-2025-49870 erfasst ist, ermöglicht es Angreifern, SQL-Injection-Angriffe ohne Anmeldung durchzuführen. Dies bedeutet, dass bösartige Datenbankabfragen in die Website eingeschleust werden können, ohne dass dafür Zugangsdaten benötigt werden.

Der Sicherheitsforscher ChuongVN von Patchstack Alliance hat die Lücke identifiziert und bestätigt, dass sie in Version 2.15.2 behoben wurde.

Funktionsweise der Lücke

Die Schwachstelle entsteht bei der Verarbeitung von PayPal Instant Payment Notifications (IPN). Das Plugin extrahiert eine Zahlungs-ID direkt aus den vom Benutzer übermittelten Daten und fügt sie in eine Datenbankabfrage ein – ohne ausreichende Validierung. Durch gezielte Manipulation könnten Angreifer sensible Daten einsehen oder bestehende Datensätze verändern.

Mit dem Update auf Version 2.15.2 haben die Entwickler mehrere Maßnahmen umgesetzt:

• Sicherstellung, dass die Zahlungs-ID vor der Nutzung numerisch ist

• Ersatz der anfälligen Abfrageverkettung durch vorbereitete SQL-Anweisungen

• Verstärkte Sicherheitsprüfungen bei der Verarbeitung von Benutzereingaben

Vorbereitete Anweisungen verhindern, dass Angreifer die Struktur einer Datenbankabfrage verändern, und schließen damit das Risiko einer SQL-Injection effektiv aus.

Gefahren durch SQL-Injection

SQL-Injection zählt seit Jahren zu den gravierendsten Sicherheitsproblemen im Web, da sie ganze Datenbanken kompromittieren kann. Patchstack empfiehlt: „Für SQL-Abfragen sollten stets sichere Escape-Funktionen genutzt und Benutzereingaben vor der Ausführung geprüft werden. Am sichersten ist der Einsatz vorbereiteter Anweisungen, bei denen jede Variable gezielt validiert wird.“

Website-Betreiber, die das Plugin einsetzen, sollten umgehend auf Version 2.15.2 aktualisieren, um ihre Seiten vor möglichen Angriffen zu schützen.

Hier gibt’s noch mehr dazu

---

Bild/Quelle: https://depositphotos.com/de/home.html

Folgen Sie uns auf X

Folgen Sie uns auf Bluesky