Modern Events Calendar: Abonnenten konnten Buchungen und Datenbank auslesen

Michael Dobler

Autor Dr. Web

20. Okt. 2026

3 Min. Lesezeit

Ein einfaches Abonnentenkonto genügte, um in Modern Events Calendar vor Version 7.37.0 eigene Befehle in Datenbankabfragen einzuschleusen. In der kostenlosen Lite-Fassung ließen sich zudem alle Buchungen mit Namen, E-Mail-Adressen und gezahlten Beträgen abrufen. Version 7.37.0 vom 1. Oktober schließt die Lücken, im Änderungsprotokoll steht dazu nur der Vermerk, die Sicherheit sei verbessert.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Seit Juli verzeichnet die NVD vier Einträge zu SQL-Injection-Lücken im Veranstaltungs-Plugin des Herstellers Webnus, zwei davon ohne Anmeldung ausnutzbar. Laut Hersteller läuft das Plugin auf mehr als 200.000 Websites.^[1] Im Mai 2022 nahm wordpress.org die Lite-Fassung wegen eines Regelverstoßes aus dem Plugin-Verzeichnis.^[2]

Das Wichtigste in Kürze

Modern Events Calendar Lite und Pro vor 7.37.0 ließen Abonnenten SQL-Befehle einschleusen (CVSS 3.1: 7,7, vergeben von WPScan).
In der Lite-Fassung konnten Abonnenten außerdem Buchungsdaten abrufen und fremde Beiträge umschreiben.
Für eine weitere SQL-Injection-Lücke genügt laut Patchstack ebenfalls ein Abonnentenkonto (8,5 Punkte).
Berichte über Angriffe liegen bis zum 20. Oktober nicht vor.

Was konnten Abonnenten in Modern Events Calendar auslesen?

Weißer Tischaufsteller mit Ringbindung, orangem Aufkleber „Abonnent“ und Kärtchenbox — Modern Events Calendar: SQL-Injection-Lücke ermöglicht Datenabfragen für Abonnenten ohne Validierung des Eingabewerts

Mit Modern Events Calendar veröffentlichen Betreiber Termine und verkaufen Tickets über ihre WordPress-Website. Die Rolle Abonnent erhält jeder, der auf einer Website mit offener Registrierung ein Konto anlegt. Laut WPScan baute das Plugin einen übergebenen Wert ohne Prüfung in eine Datenbankabfrage ein. Laut CVSS-Bewertung ermöglicht die Lücke das Auslesen von Daten, nicht deren Veränderung. Gemeldet hat die Lücke CVE-2026-96534 der Sicherheitsforscher Sanjar Tulkinov, WPScan veröffentlichte den Eintrag am 16. Oktober.^[3]

Am selben Tag veröffentlichte WPScan zwei Lücken mit fehlender Rechteprüfung in der Lite-Fassung. Abonnenten konnten Namen, E-Mail-Adressen, Zahlungsreferenzen und gezahlten Beträge aller Buchungen abrufen (CVE-2026-110069, CVSS 4,3).^[4] Außerdem ließen sich Titel und Text fremder Beiträge und Seiten ändern (CVE-2026-110070, CVSS 6,5), behoben schon in Version 7.36.4 vom 10. September.^[5] Patchstack führt seit dem 12. Oktober unter CVE-2026-105067 eine SQL-Injection-Lücke, für die ebenfalls ein Abonnentenkonto genügt. Ob WPScan und Patchstack denselben Fehler beschreiben, geht aus den Einträgen nicht hervor.^[6]

Warum kehrt die SQL-Injection immer wieder?

Version 7.34.0 vom 21. Juni schloss eine SQL-Injection ohne Anmeldung mit 8,6 Punkten, Version 7.35.0 vom 1. August eine weitere, die Patchstack mit 9,3 Punkten bewertet.^[7] WordPress stellt Plugins seit Jahren eine Funktion bereit, die Werte vor dem Einbau in eine Abfrage maskiert.^[8] Dieselbe Art von Lücke traf zuletzt das Buchungs-Plugin LatePoint und Backuply.

Bei Modern Events Calendar erschwert der Bezugsweg das Nachziehen. Die Lite-Fassung erhält keine Updates über wordpress.org. Laut Änderungsprotokoll liefern zudem Themes das Plugin mit, etwa das Theme mit dem Namen X.^[1] Von den 28 Einträgen zu Version 7.37.0 nennt keiner eine CVE-Kennung.

Modern Events Calendar im Steckbrief

Reichweite, Schweregrad und Lückenserie, Stand 20. Oktober 2026

200.000+

Websites nutzen das Plugin laut Hersteller Webnus

7,7

Punkte nach CVSS 3.1 vergibt WPScan für die SQL-Injection, für die ein Abonnentenkonto genügt

NVD-Einträge zu SQL-Injection-Lücken seit Juli, zwei davon ohne Anmeldung

7.37.0

ist die erste Version ohne die neuen Lücken, erschienen am 1. Oktober

Vier SQL-Injection-Lücken in vier Monaten

21. Juni

Version 7.34.0

Schließt eine SQL-Injection ohne Anmeldung mit 8,6 Punkten

1. August

Version 7.35.0

Schließt die nächste SQL-Injection ohne Anmeldung, Patchstack vergibt 9,3 Punkte

1. Oktober

Version 7.37.0

Behebt die SQL-Injection für Abonnenten und den Abruf fremder Buchungen

12. Oktober

Patchstack

Veröffentlicht CVE-2026-105067 mit 8,5 Punkten

16. Oktober

WPScan

Veröffentlicht drei Lücken, darunter CVE-2026-96534; Angriffe sind bis zum 20. Oktober nicht bekannt

Ein Änderungsprotokoll, das eine SQL-Injection als verbesserte Sicherheit verbucht, nimmt Betreibern den Grund für ein schnelles Update.
Markus Seyfferth, Chefredakteur Dr. Web

Was sollten Betreiber jetzt tun?

Aktualisieren: Bringen Sie Lite und Pro auf 7.37.0 oder neuer. Die installierte Version zeigt die Plugin-Übersicht im Dashboard. Eine Sicherung vorab, etwa mit einem der verglichenen Backup-Plugins, erleichtert das Zurücksetzen.
Theme-Paket prüfen: Kam das Plugin mit einem Theme, klären Sie beim Theme-Hersteller, ob dessen Paket schon 7.37.0 enthält.
Registrierung begrenzen: Braucht die Website keine Nutzerkonten, schalten Sie unter Einstellungen die freie Registrierung ab.
Spuren suchen: Prüfen Sie Nutzerliste, Beiträge und Seiten auf unbekannte Konten und fremde Änderungen.
Melden: Gelangten Buchungsdaten an Fremde, prüfen Sie die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden Zeit lässt.^[9]

Agenturen mit vielen Kunden-Websites aktualisieren Websites mit Ticketverkauf zuerst. Grundregeln bündelt der Ratgeber zur WordPress-Sicherheit. Managed-Hoster aus dem WordPress-Hosting-Vergleich spielen Plugin-Updates teils automatisch ein.

FAQ: Modern Events Calendar: Abonnenten konnten Buchungen und Datenbank auslesen

Was ist Modern Events Calendar?

Modern Events Calendar ist ein WordPress-Plugin des Herstellers Webnus für Veranstaltungskalender und Ticketverkauf. Es gibt eine kostenlose Lite-Fassung und eine kostenpflichtige Pro-Fassung. Laut Hersteller nutzen mehr als 200.000 Websites das Plugin.

Welche Version von Modern Events Calendar ist sicher?

Sicher ist Version 7.37.0 vom 1. Oktober 2026 oder neuer, für Lite und Pro. Ältere Versionen enthalten laut WPScan und Patchstack SQL-Injection-Lücken, die Angreifer mit einem Abonnentenkonto ausnutzen können. Die installierte Version zeigt die Plugin-Übersicht im WordPress-Dashboard.

Was ist eine SQL-Injection?

Bei einer SQL-Injection schleust ein Angreifer eigene Befehle in eine Datenbankabfrage ein, weil eine Anwendung Eingaben ungeprüft in die Abfrage übernimmt. Je nach Lücke lassen sich so Daten auslesen, ändern oder löschen. In WordPress liegen in der Datenbank etwa Nutzerkonten, Beiträge und Bestelldaten.

Wird die Lücke in Modern Events Calendar schon ausgenutzt?

Bis zum 20. Oktober 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt keine der Lücken in ihrem Katalog aktiv ausgenutzter Schwachstellen. Die Updates liegen seit dem 10. September und dem 1. Oktober vor.