Diese Seite wurde noch nicht in Ihre Sprache übersetzt. Inhalte werden auf Englisch angezeigt, während wir daran arbeiten.

💡 Keep dependencies up to date — most exploits target known, patchable vulnerabilities.

MEDIUMCVE-2026-6225CVSS 6.5

CVE-2026-6225: SQL Injection in Taskbuilder WordPress Plugin

Plattform

wordpress

Komponente

taskbuilder

Behoben in

5.0.7

Wird in Ihre Sprache übersetzt…

CVE-2026-6225 describes a time-based blind SQL Injection vulnerability discovered in the Taskbuilder WordPress plugin. This flaw allows authenticated attackers to inject malicious SQL queries, potentially leading to the extraction of sensitive data from the database. The vulnerability impacts versions 0.0.0 through 5.0.6 of the plugin, and a patch is available in version 5.0.7.

WordPress

Erkenne diese CVE in deinem Projekt

Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.

Auswirkungen und Angriffsszenarienwird übersetzt…

Successful exploitation of CVE-2026-6225 could allow an attacker to bypass authentication and extract sensitive information stored within the Taskbuilder plugin's database. This data could include user credentials, project details, and other confidential information. While requiring Subscriber-level access or higher, the widespread use of WordPress and the plugin's functionality make it a potentially attractive target. The time-based nature of the injection means exploitation is slower and more detectable than direct SQL injection, but still poses a significant risk if left unaddressed. The impact is amplified if the database contains Personally Identifiable Information (PII) or other regulated data.

Ausnutzungskontextwird übersetzt…

CVE-2026-6225 was published on 2026-05-14. Its severity is currently assessed as medium. No public Proof-of-Concept (POC) exploits have been identified as of this writing, but the vulnerability's nature and the popularity of WordPress make it a potential target for exploitation. The time-based nature of the injection may make it less attractive to automated scanners, but manual exploitation remains a possibility. Monitor CISA and NVD advisories for updates.

Bedrohungsanalyse

Exploit-Status

Proof of ConceptUnbekannt
CISA KEVNO
Internet-ExponierungHoch
Berichte1 Bedrohungsbericht

CISA SSVC

Ausnutzungnone
Automatisierbarno
Technische Auswirkungpartial

CVSS-Vektor

BEDROHUNGSANALYSE· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N6.5MEDIUMAttack VectorNetworkWie der Angreifer das Ziel erreichtAttack ComplexityLowBedingungen zur erfolgreichen AusnutzungPrivileges RequiredLowErforderliche AuthentifizierungsstufeUser InteractionNoneOb ein Opfer eine Aktion ausführen mussScopeUnchangedAuswirkungen über die Komponente hinausConfidentialityHighRisiko der Offenlegung sensibler DatenIntegrityNoneRisiko nicht autorisierter DatenänderungAvailabilityNoneRisiko der Dienstunterbrechungnextguardhq.com · CVSS v3.1 Basis-Score
Was bedeuten diese Metriken?
Attack Vector
Netzwerk — aus der Ferne über das Internet ausnutzbar. Kein physischer oder lokaler Zugriff erforderlich.
Attack Complexity
Niedrig — keine besonderen Bedingungen erforderlich. Zuverlässig ausnutzbar.
Privileges Required
Niedrig — jedes gültige Benutzerkonto ist ausreichend.
User Interaction
Keine — automatischer und lautloser Angriff. Das Opfer tut nichts.
Scope
Unverändert — Auswirkung auf das anfällige Komponente beschränkt.
Confidentiality
Hoch — vollständiger Vertraulichkeitsverlust. Angreifer kann alle Daten lesen.
Integrity
Keine — kein Integritätseinfluss.
Availability
Keine — kein Verfügbarkeitseinfluss.

Betroffene Software

Komponentetaskbuilder
Herstellerwordfence
Mindestversion0.0.0
Höchstversion5.0.6
Behoben in5.0.7

Schwachstellen-Klassifikation (CWE)

Zeitleiste

  1. Reserviert
  2. Veröffentlicht

Mitigation und Workaroundswird übersetzt…

The primary mitigation for CVE-2026-6225 is to immediately upgrade the Taskbuilder WordPress plugin to version 5.0.7 or later. If upgrading is not immediately feasible, consider implementing a Web Application Firewall (WAF) rule to filter requests containing suspicious SQL syntax in the 'projectsearch' parameter. Additionally, review and restrict database user permissions to minimize the potential damage from a successful attack. Monitor WordPress logs for unusual database query patterns that might indicate exploitation attempts. After upgrading, confirm the fix by attempting a SQL injection attack via the 'projectsearch' parameter and verifying that it is properly sanitized.

So beheben

Aktualisieren Sie auf Version 5.0.7 oder eine neuere gepatchte Version

Häufig gestellte Fragenwird übersetzt…

What is CVE-2026-6225 — SQL Injection in Taskbuilder WordPress Plugin?

CVE-2026-6225 is a medium severity SQL Injection vulnerability affecting the Taskbuilder WordPress plugin versions 0.0.0–5.0.6. An authenticated attacker can extract sensitive data via the 'project_search' parameter.

Am I affected by CVE-2026-6225 in Taskbuilder WordPress Plugin?

You are affected if your WordPress site uses the Taskbuilder plugin and is running a version prior to 5.0.7. Check your plugin versions immediately.

How do I fix CVE-2026-6225 in Taskbuilder WordPress Plugin?

Upgrade the Taskbuilder WordPress plugin to version 5.0.7 or later. If immediate upgrade is not possible, implement a WAF rule to filter suspicious SQL queries.

Is CVE-2026-6225 being actively exploited?

No public exploits have been identified as of this writing, but the vulnerability's nature makes it a potential target. Continuous monitoring is recommended.

Where can I find the official Taskbuilder advisory for CVE-2026-6225?

Refer to the Taskbuilder plugin's official website or WordPress plugin repository for the latest advisory and update information.

Ist dein Projekt betroffen?

Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.

WordPress

Erkenne diese CVE in deinem Projekt

Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.

liveKostenloser Scan

Scannen Sie jetzt Ihr WordPress-Projekt – kein Konto

Laden Sie ein Manifest hoch (composer.lock, package-lock.json, WordPress Plugin-Liste…) oder fügen Sie Ihre Komponentenliste ein. Sie erhalten sofort einen Schwachstellenbericht. Das Hochladen einer Datei ist nur der Anfang: Mit einem Konto erhalten Sie kontinuierliche Überwachung, Slack/email-Benachrichtigungen, Multi-Projekt- und White-Label-Berichte.

Manueller ScanSlack/E-Mail-AlertsKontinuierliche ÜberwachungWhite-Label-Berichte

Abhängigkeitsdatei hier ablegen

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...