WP Data Access: Lücke erlaubt Datenänderung ohne Login – jetzt aktualisieren
Im WordPress-Plugin WP Data Access, mit dem sich Datenbank-Tabellen als Listen, Formulare oder kleine Anwendungen auf der Website anzeigen lassen, steckt eine Lücke in der Rechteprüfung: Besucher ohne Login können Daten in Tabellen ändern, die eigentlich nur zum Lesen freigegeben sind. Angriffe sind bisher nicht bekannt – der Angriffscode wird aber am 26. Oktober 2026 veröffentlicht. Bis dahin sollte das Update erledigt sein.
| Plugin | WP Data Access – App Builder für Tabellen, Formulare, Dashboards (über 10.000 aktive Installationen) |
|---|---|
| Lücke | CVE-2026-106098 – fehlerhafte Rechteprüfung: Schreiben mit bloßer Leseberechtigung |
| Schweregrad | CVSS 5.3 von 10, mittel (WPScan) |
| Betroffen | alle Versionen vor 5.5.77 |
| Empfohlen | neueste Version, derzeit 5.5.88 (schließt auch die weiteren Lücken 2026) |
| Angriffe | bisher keine bekannt (Stand 15.10.2026); Angriffscode wird am 26.10.2026 veröffentlicht |
| Login nötig? | Nein – betroffen sind Apps und Tabellen, die Besucher ohne Anmeldung sehen dürfen |
Was ist passiert?
Mit WP Data Access lassen sich Inhalte aus der Datenbank als Tabellen oder kleine Anwendungen („Apps“) auf der Website zeigen – etwa Mitgliederlisten, Produktdaten oder Anmeldungen. Für jede App legt der Betreiber fest, wer lesen und wer ändern darf; Besuchern ohne Login lässt sich zum Beispiel nur das Lesen erlauben.
Genau diese Trennung greift in den verwundbaren Versionen nicht: Beim direkten Ändern einzelner Einträge prüft das Plugin nur, ob jemand lesen darf, nicht, ob er auch schreiben darf. Wer eine öffentlich lesbare App aufrufen kann, kann deren Daten also auch ändern – selbst wenn der Betreiber Änderungen ausdrücklich abgeschaltet hat.
Das ist keine Lücke, über die Schadcode auf den Server gelangt. Die Folgen hängen davon ab, was in den Tabellen steht: falsche Preise, manipulierte Kontaktdaten, eingeschleuste Links oder gelöschte Angaben in öffentlich sichtbaren Listen.
Der Hersteller hat die Lücke mit Version 5.5.77 geschlossen. Die Sicherheitsfirma WPScan hält den Angriffscode bis zum 26. Oktober 2026 zurück, damit Betreiber Zeit zum Aktualisieren haben. Erfahrungsgemäß beginnen automatisierte Angriffe kurz nach einer solchen Veröffentlichung.
Bin ich betroffen?
- Plugin vorhanden? Im WordPress-Backend unter Plugins → Installierte Plugins nach „WP Data Access“ suchen.
- Version prüfen Liegt die Version unter 5.5.77, ist die Website von dieser Lücke betroffen; unter 5.5.84 bestehen noch weitere Lücken (siehe unten).
- Öffentliche Apps prüfen Am größten ist das Risiko, wenn Apps oder Tabellen für Besucher ohne Anmeldung freigegeben sind – zum Beispiel als Liste, die per Shortcode auf einer Seite eingebunden ist.
Sofortmaßnahmen
- Sicherung ziehen Vor dem Update ein vollständiges Backup erstellen, inklusive Datenbank. Es dient auch als Vergleich, falls später Daten verändert wirken.
- Auf die neueste Version aktualisieren Derzeit 5.5.88 – nicht nur 5.5.77, denn erst ab 5.5.84 sind alle bekannten Lücken aus 2026 geschlossen.
- Falls kein Update möglich ist Den Zugriff für Besucher ohne Anmeldung in den betroffenen Apps abschalten oder das Plugin vorübergehend deaktivieren.
- Öffentliche Tabellen kontrollieren Inhalte von Apps mit anonymem Zugriff stichprobenartig mit der Sicherung vergleichen.
- Bei Benutzerdaten: Passwörter erneuern War die WordPress-Benutzertabelle über das Plugin eingebunden, vorsorglich die Passwörter zurücksetzen (siehe CVE-2026-18032 unten).
Anzeichen eines Angriffs
- Unerklärliche Änderungen an Einträgen in Tabellen, die öffentlich angezeigt werden – geänderte Texte, Links, Zahlen oder geleerte Felder.
- Neue Links oder Werbung in Listen und Formular-Ausgaben, die niemand aus Ihrem Team eingetragen hat.
- Server-Logs mit gehäuften Anfragen an die REST- und AJAX-Schnittstellen des Plugins von unbekannten IP-Adressen.
Unser Prüfwerkzeug gleicht installierte Plugins seit dem 15.10.2026 auch mit den Lücken in WP Data Access ab und meldet verwundbare Versionen.
Weitere WP-Data-Access-Lücken 2026
CVE-2026-106098 ist nicht die einzige Lücke in diesem Plugin in diesem Jahr. Alle sind mittel eingestuft und ohne Login ausnutzbar:
| Lücke | Behoben in | Folge |
|---|---|---|
| CVE-2026-106099 | 5.5.84 | Komplette Tabelleninhalte inkl. ausgeblendeter Spalten exportierbar, wenn die Tabelle öffentlich angezeigt wird |
| CVE-2026-66595 | 5.5.81 | Fehlende Zugriffskontrolle – Aktionen ohne Berechtigung möglich |
| CVE-2026-18032 | 5.5.79 | Fehlende Rechteprüfung; je nach Quelle lassen sich beliebige Spalten auslesen, bei eingebundener Benutzertabelle auch Passwort-Hashes |
| CVE-2026-106098 | 5.5.77 | Daten ändern mit bloßer Leseberechtigung (diese Warnung) |
Wer auf die neueste Version aktualisiert, schließt alle vier auf einmal.
Unsicher, ob Ihre Daten verändert wurden?
Wir sichern Ihre Website, bringen Plugins auf den aktuellen Stand und prüfen Datenbank und Inhalte auf Manipulation – mit Vorschau vor dem Livegang. Zahlung nur im Erfolgsfall.
Jetzt Hilfe anfordernHäufige Fragen
Ist diese Lücke so gefährlich wie die Bricksforge-Lücke?
Nein. Angreifer können damit keinen Programmcode einschleusen, sondern nur Daten in öffentlich freigegebenen Tabellen verändern. Die Lücke ist mit CVSS 5.3 als mittel eingestuft. Weil der Angriffscode am 26.10.2026 veröffentlicht wird, sollten Sie trotzdem vorher aktualisieren.
Reicht ein Update auf Version 5.5.77?
Für CVE-2026-106098 ja, insgesamt aber nicht: Im selben Plugin wurden 2026 weitere Lücken geschlossen, die letzte erst mit Version 5.5.84. Aktualisieren Sie deshalb auf die neueste Version, derzeit 5.5.88.
Ich zeige keine Tabellen öffentlich an – bin ich trotzdem betroffen?
Das Risiko ist dann deutlich geringer, weil beide Lücken vom Oktober nur Apps und Tabellen betreffen, die Besucher ohne Anmeldung sehen dürfen. Ältere Lücken aus 2026 setzen das nicht voraus. Aktualisieren Sie deshalb in jedem Fall.
Wie erkenne ich, ob Daten verändert wurden?
Vergleichen Sie die Inhalte öffentlich freigegebener Tabellen mit einer älteren Sicherung. Auffällig sind Änderungen, die niemand aus Ihrem Team vorgenommen hat. In den Server-Logs fallen viele Anfragen an die Schnittstellen des Plugins von fremden IP-Adressen auf.
Quellen: WPScan – CVE-2026-106098 · NVD – CVE-2026-106098 · WPScan – CVE-2026-106099 · Patchstack – CVE-2026-66595 · Wordfence – CVE-2026-18032 · INCIBE-CERT – CVE-2026-18032 · WP Data Access auf wordpress.org
← Zu allen Sicherheitswarnungen