SQL-Injection

Warum es für WordPress wichtig ist

Plugins und eigener Code, die SQL aus rohen Anfragedaten bauen, können Beiträge, Benutzer oder die ganze Datenbank offenlegen. Bei WordPress heißt das meist eine anfällige Erweiterung, nicht der Core selbst. Öffentliche CVEs werden schnell automatisiert.

So zeigt es sich in der Praxis

• Seltsame Query-Strings, die Inhalte ausgeben oder Datenbankfehlertext zeigen
• Unerwartete Admin-Benutzer oder Optionsänderungen ohne menschliche Aktion im Log
• Scanner- oder Advisory-Notizen zu einem Plugin-CVE, das SQLi nennt

Was Sie tun sollten

1. Halten Sie WordPress, Themes und Plugins aktuell.
2. Entfernen Sie ungenutzte Plugins und Themes.
3. Bevorzugen Sie gepflegte Erweiterungen. Prüfen Sie Schwachstellendatenbanken, wenn ein CVE fällt.
4. Nutzen Sie in eigenem Code $wpdb->prepare und hängen Sie nie unbekannte Eingaben an SQL.
5. Nach einem vermuteten SQLi-Vorfall: Geheimnisse wechseln, Benutzer prüfen, Dateien scannen.

Ausführlich: SQL-Injection bei WordPress.