Kurzfassung

In dem WordPress-Plugin Tourfic wurde eine hochriskante Schwachstelle entdeckt, die eine SQL-Injection über einen öffentlich erreichbaren Parameter ermöglicht. Nach den vorliegenden Informationen kann die Lücke ohne Anmeldung ausgenutzt werden und unter Umständen dazu führen, dass Angreifer Daten aus der Datenbank auslesen. Für Betreiber von WordPress-Websites mit diesem Plugin ist das ein relevantes Sicherheitsproblem mit unmittelbarem Handlungsbedarf.

Was ist passiert?

Die Schwachstelle wird unter CVE-2026-12937 geführt und betrifft das Plugin Tourfic – AI Powered Travel Booking, Hotel Booking & Car Rental für WordPress in Versionen bis einschließlich 2.22.7. Ursache ist eine unzureichende Absicherung eines übergebenen Werts im Zusammenhang mit einer SQL-Abfrage. Dadurch kann ein Angreifer zusätzliche SQL-Anweisungen einschleusen.

Besonders kritisch ist, dass der betroffene AJAX-Endpunkt auch für nicht angemeldete Nutzer erreichbar ist. Laut den vorliegenden Informationen lässt sich zudem ein benötigter Nonce-Wert über eine öffentliche Seite beziehen. Damit sinkt die Einstiegshürde für einen Angriff deutlich.

Technische Details

Die Schwachstelle liegt in der Verarbeitung des Parameters post_id. Wenn ein Wert ungefiltert oder unzureichend vorbereitet in eine Datenbankabfrage einfließt, kann dies zu SQL-Injection führen. In diesem Fall ist laut Beschreibung das Einschleusen zusätzlicher SQL-Teile möglich, wodurch Datenbankinhalte abgefragt oder manipuliert werden könnten.

Für die praktische Ausnutzung ist kein Benutzerkonto erforderlich. Das erhöht das Risiko, weil Angriffe automatisiert und in kurzer Zeit gegen öffentlich erreichbare WordPress-Installationen gestartet werden können. Der veröffentlichte Schweregrad wurde als HIGH eingestuft, was die potenzielle Auswirkung auf Vertraulichkeit und Integrität unterstreicht.

Wer ist betroffen?

Betroffen sind in erster Linie Betreiber von WordPress-Websites, die das Tourfic-Plugin einsetzen und noch eine verwundbare Version verwenden. Das betrifft besonders Reiseportale, Hotel- und Buchungsseiten sowie kleinere Unternehmen, die WordPress als Buchungsplattform nutzen.

Für Unternehmen im DACH-Raum ist das vor allem deshalb relevant, weil solche Plugins häufig in kundennahe Webauftritte eingebunden sind. Ein erfolgreicher Angriff kann nicht nur interne oder geschäftsrelevante Daten offenlegen, sondern auch Buchungsinformationen, personenbezogene Daten oder andere sensible Inhalte betreffen. Für Privatpersonen ist das Risiko indirekter: Wer eine betroffene Website nutzt, könnte von Datenabfluss oder Missbrauch seiner übermittelten Informationen betroffen sein.

Empfohlene Maßnahmen

Betreiber sollten umgehend prüfen, ob Tourfic installiert ist und welche Version im Einsatz ist. Falls eine verwundbare Version bis einschließlich 2.22.7 genutzt wird, sollte das Plugin sofort aktualisiert werden, sobald eine bereinigte Fassung verfügbar ist.

Zusätzlich empfehlen sich folgende Schritte:

  • WordPress- und Plugin-Inventar vollständig prüfen
  • Webserver- und Applikations-Logs auf verdächtige Requests analysieren
  • Datenbankzugriffe und ungewöhnliche Abfragen überwachen
  • Temporär den Zugriff auf betroffene Funktionen einschränken, falls ein Update nicht sofort möglich ist
  • Sicherheitskopien vor Änderungen erstellen und deren Wiederherstellbarkeit testen

Für Unternehmen ist außerdem wichtig, mögliche Datenschutz- und Meldepflichten frühzeitig zu bewerten, falls Anzeichen für einen erfolgreichen Angriff vorliegen.

Einschätzung von CyberSecurity-News.de

Aus Sicht von CyberSecurity-News.de ist die Relevanz dieser Schwachstelle hoch, weil sie eine öffentlich erreichbare Angriffsfläche in einer weit verbreiteten Webplattform betrifft. SQL-Injection gehört weiterhin zu den gefährlichsten Webangriffen, da sie oft direkt auf geschäftskritische Daten abzielt und ohne komplexe Voraussetzungen missbraucht werden kann.

Für Unternehmen im DACH-Raum ist das Risiko besonders praxisnah: Buchungs- und Service-Websites sind häufig direkt mit Kundendaten, Terminprozessen oder internen Abläufen verbunden. Ein erfolgreicher Angriff kann daher nicht nur technische, sondern auch rechtliche und reputationsbezogene Folgen haben. Für Privatpersonen ist die Bedrohung vor allem dann relevant, wenn sie über eine betroffene Website personenbezogene Daten eingegeben haben.

Die Schwachstelle zeigt erneut, wie wichtig eine konsequente Update- und Patch-Strategie bei WordPress-Plugins ist. Gerade Erweiterungen von Drittanbietern werden in der Praxis oft länger betrieben als vorgesehen oder nur unregelmäßig überprüft.

Fazit

CVE-2026-12937 ist eine ernstzunehmende Schwachstelle im Tourfic-Plugin für WordPress, die unauthentifizierte SQL-Injection ermöglichen kann. Für Betreiber betroffener Websites besteht akuter Handlungsbedarf, da sensible Daten gefährdet sein können und ein Angriff ohne Login möglich ist.

Wer Tourfic einsetzt, sollte die installierte Version sofort prüfen, Updates priorisieren und die Umgebung auf Auffälligkeiten überwachen. Für Unternehmen gilt: Je stärker das Plugin in kundennahe Prozesse eingebunden ist, desto höher ist das operative Risiko.

Quellenangabe

Weiterführende Informationen: https://nvd.nist.gov/vuln/detail/CVE-2026-12937