CVE-2025-11740
wpForo Forum <= 2.4.9 - Authentifizierte (Abonnent+) SQL-Injection
- Veröffentlicht
- 01.11.2025
- Aktualisiert
- 08.04.2026
- CNA zuweisen
- Wordfence
- Beweise beobachtet
- 16.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:NNiedrig · nächste 30 Tage
- Perzentil
- 17,8 %
- Modelldatum
- 21.09.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Das wpForo Forum-Plugin für WordPress ist in allen Versionen bis einschließlich 2.4.9 anfällig für SQL-Injection über den Subscriptions Manager, bedingt durch unzureichendes Escaping des vom Benutzer bereitgestellten Parameters sowie fehlende ausreichende Vorbereitung der bestehenden SQL-Abfrage. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Zugriff oder höher, zusätzliche SQL-Abfragen an bereits bestehende Abfragen anzuhängen, die genutzt werden können, um vertrauliche Informationen aus der Datenbank zu extrahieren.
Quellen
1Python-Proof-of-Concept für CVE-2025-11740; löst die Schwachstelle aus, um die Gefährdung zu verifizieren und die Behebung in autorisierten Sicherheitstests zu unterstützen.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.