CVE-2026-66447: Kritische SQL-Injection in WordPress File Upload Plugin

Zentrale Fakten zur Schwachstelle:

• CVE-ID: CVE-2026-66447
• CVSS-Score: 9.3 (Kritisch) — Quelle: Patchstack Advisory
• Betroffene Software: WordPress File Upload Plugin (von nickboss)
• Betroffene Versionen: Alle Versionen bis einschließlich 5.1.7 (laut Patchstack-Advisory)
• Angriffsart: Unauthentifizierte SQL-Injection
• Advisory: Patchstack Advisory

Die Informationen basieren auf einem Bericht von Patchstack. Zum Zeitpunkt der Veröffentlichung dieses Artikels war der Eintrag in der National Vulnerability Database (NVD) noch nicht vollständig analysiert — Patchstack ist daher die einzige verfügbare Primärquelle für CVE-ID, CVSS-Score und betroffene Versionen.

Technischer Hintergrund und Risiko

Die Schwachstelle resultiert aus einer unzureichenden Validierung von Benutzereingaben, bevor diese in SQL-Datenbankabfragen verwendet werden. Dies erlaubt es einem Angreifer, speziell präparierte Anfragen an eine betroffene Webseite zu senden und eigene SQL-Befehle in die Datenbank einzuschleusen.

Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L beschreibt das Risiko präzise:

• Attack Vector: Network (AV:N): Die Lücke ist aus dem Internet heraus ohne lokalen Zugriff ausnutzbar.
• Privileges Required: None (PR:N): Ein Angreifer benötigt kein Benutzerkonto und keine Berechtigungen.
• User Interaction: None (UI:N): Für einen erfolgreichen Angriff ist keine Interaktion eines Nutzers oder Administrators erforderlich.

Diese Kombination macht jede öffentlich erreichbare WordPress-Instanz mit einer verwundbaren Plugin-Version zu einem leicht angreifbaren Ziel. Ein erfolgreicher Angriff kann zum Auslesen sensibler Informationen aus der Datenbank führen, darunter Benutzerdaten, gehashte Passwörter, Seiteninhalte und Konfigurationen. Der hohe Vertraulichkeits-Impact (Confidentiality: High, C:H) unterstreicht dieses Risiko.

Das Plugin von nickboss war bereits in den Jahren 2024 und 2025 wiederholt von kritischen Schwachstellen betroffen: CVE-2024-11613 (Remote Code Execution, CVSS 9.8, alle Versionen bis einschließlich 4.24.15, gemeldet Januar 2025) und CVE-2024-9047 (Path Traversal, CVSS 9.8, bis Version 4.24.11) zeigen ein wiederkehrendes Muster unzureichender Eingabevalidierung in diesem Plugin. Quellen: NVD CVE-2024-11613, GitHub Advisory GHSA-c86g-pwgj-7qq3.

Handlungsempfehlungen für Betreiber

Unternehmen und Administratoren sollten umgehend prüfen, ob das betroffene Plugin in ihrer Infrastruktur eingesetzt wird. Aufgrund der kritischen Natur der Schwachstelle sind schnelle Gegenmaßnahmen erforderlich.

1. Identifikation und Prüfung: Ermitteln Sie alle WordPress-Instanzen in Ihrer Systemlandschaft. Überprüfen Sie, ob das Plugin „WordPress File Upload“ installiert ist und welche Version verwendet wird.
2. Aktualisierung: Zum Zeitpunkt der Veröffentlichung dieses Artikels ist noch kein offizieller Patch bekannt. Administratoren wird empfohlen, die Patchstack-Advisory-Seite regelmäßig auf verfügbare Updates zu prüfen und ein verfügbares Update unverzüglich einzuspielen.
3. Temporäre Deaktivierung: Da aktuell kein Patch verfügbar ist, bietet die vorübergehende Deaktivierung des Plugins einen wirksamen Schutz, da der Angriffspunkt dadurch entfernt wird.
4. Überwachung der Protokolldateien: Untersuchen Sie Webserver- und Datenbank-Logs auf ungewöhnliche oder fehlerhafte SQL-Abfragen. Solche Einträge können auf versuchte oder bereits erfolgreiche Ausnutzungsversuche hinweisen.

Für Betreiber kritischer Infrastrukturen oder Anbieter digitaler Dienste in der EU gilt: Führt eine aktiv ausgenutzte Schwachstelle zu einem Datenschutzvorfall mit Personenbezug, greift gemäß DSGVO Art. 33 eine Meldepflicht innerhalb von 72 Stunden gegenüber der zuständigen Datenschutzbehörde. NIS-2-pflichtige Unternehmen sollten den Patch- und Reaktionsprozess als Teil ihres dokumentierten Schwachstellenmanagements nachweisen können. Das BSI empfiehlt generell, den Einsatz von Drittanbieter-Plugins kontinuierlich zu inventarisieren und ungepatchte Komponenten umgehend zu isolieren.

Die Rolle von EASM bei der Bewältigung von Plugin-Schwachstellen

Schwachstellen wie CVE-2026-66447 verdeutlichen eine zentrale Herausforderung für die IT-Sicherheit: die fehlende Transparenz über alle öffentlich erreichbaren Systeme und deren Softwarekomponenten. Gerade in großen oder dezentral organisierten Unternehmen existieren häufig WordPress-Instanzen, die nicht aktiv gewartet werden — sogenannte Schatten-IT oder vergessene Web-Präsenzen, die bei einem manuellen Inventurprozess schlicht nicht erfasst werden.

An dieser Stelle setzt External Attack Surface Management (EASM) an. Eine EASM-Plattform wie LocateRisk scannt kontinuierlich die externe Angriffsfläche eines Unternehmens und identifiziert alle öffentlich zugänglichen Assets, einschließlich Webseiten, Server und deren technologische Basis. So kann die Plattform erkennen, wo WordPress eingesetzt wird, und liefert damit eine fundierte Datengrundlage, um potenziell betroffene Systeme schnell einzugrenzen — auch solche, die in keiner gepflegten Inventarliste auftauchen.

Dieser Ansatz ermöglicht eine gezielte und priorisierte Reaktion: Sicherheitsverantwortliche können die identifizierten System-Owner direkt informieren und die Umsetzung von Gegenmaßnahmen nachverfolgen. Dies verkürzt die Reaktionszeit und hilft dabei, sicherzustellen, dass keine vergessenen Systeme ungeschützt bleiben. Das wiederholte Auftreten kritischer Schwachstellen in diesem Plugin — von RCE über Path Traversal bis hin zu SQL-Injection — unterstreicht zudem den Wert eines kontinuierlichen Drittanbieter-Monitorings im Rahmen eines Vendor-Risk-Management-Programms. Die Lösung von LocateRisk wird in deutschen Rechenzentren gehostet und ist auf die Anforderungen der DSGVO ausgerichtet.

Quellen und weitere Infos

• Patchstack Advisory: WordPress File Upload Plugin <= 5.1.7 - SQL Injection Vulnerability
• NVD/NIST: CVE-2026-66447 (Eintrag in Prüfung)
• NVD/NIST: CVE-2024-11613 – Remote Code Execution in WordPress File Upload Plugin (bis 4.24.15)
• GitHub Advisory Database: GHSA-c86g-pwgj-7qq3 – CVE-2024-11613

Häufige Fragen

---

Was ist CVE-2026-66447?

CVE-2026-66447 ist eine kritische Sicherheitslücke im WordPress-Plugin „WordPress File Upload“ von nickboss. Sie ermöglicht es Angreifern ohne jede Authentifizierung, eigene SQL-Befehle in die Datenbank einer betroffenen WordPress-Instanz einzuschleusen. Laut Patchstack-Advisory wird die Schwachstelle mit einem CVSS-Score von 9.3 (kritisch) bewertet.

---

Welche Plugin-Versionen sind betroffen, und gibt es bereits einen Patch?

Laut dem Patchstack-Advisory sind alle Versionen des Plugins bis einschließlich 5.1.7 betroffen. Zum Zeitpunkt der Veröffentlichung dieses Artikels ist kein offizieller Patch bekannt. Der NVD-Eintrag befindet sich noch in der Analyse-Phase.

---

Was sollte ich tun, wenn kein Patch verfügbar ist?

Deaktivieren Sie das Plugin „WordPress File Upload“ vorübergehend, bis ein offizieller Patch verfügbar ist. Überwachen Sie zusätzlich Ihre Webserver- und Datenbank-Logs auf Anzeichen einer Ausnutzung und prüfen Sie regelmäßig das Patchstack-Advisory auf neue Informationen.

Stand: 06.08.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.

Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!

Ihr AnsprechpartnerLukas BaumannCEO

+49 6151 6290246

Jetzt Kontakt aufnehmen

Home

Blog

Wissen

Über uns

Kontakt

Impressum

Datenschutz

AGB

Jobs

Trust Center

© LocateRisk 2026