Wordfence beschreibt CVE-2026-19949 in einem aktuellen Bericht als SQL-Injection zweiter Ordnung. Ursache ist eine fehlerhafte Verarbeitung maskierter Backslashes und Anführungszeichen, wenn das Plugin beim Wiederherstellen eines Archivs Datenbankinhalte umschreibt.
Der Angriffsweg beginnt ohne jede Authentifizierung: Über WordPress-Trackbacks kann ein Angreifer präparierte Daten in der Datenbank hinterlegen. Diese bleiben zunächst wirkungslos und kommen erst dann zur Ausführung, wenn ein Administrator die Website exportiert und wieder importiert – beides Standardvorgänge im Umgang mit dem Plugin.
Beim Wiederherstellen werden die Grenzen von SQL-Zeichenketten falsch verarbeitet, sodass die gespeicherten Daten als SQL ausgeführt werden. Der eingeschleuste Code kann den geheimen Import-Schlüssel des Plugins (ai1wm_secret_key) über einen öffentlichen Kommentar sichtbar machen. Wer diesen Schlüssel besitzt, kann ein manipuliertes Archiv im Format „.wpress" mit ausführbarem Code importieren. Codeausführung auf dieser Rechteebene kann laut Wordfence in der vollständigen Übernahme der betroffenen Website münden.
Die notwendige Administratoraktion senkt das unmittelbare Risiko, hebt es aber nicht auf. „Da Sichern und Wiederherstellen der eigentliche Zweck dieses Plugins ist, handelt es sich um eine Routineaufgabe – das eingeschleuste SQL wird aber erst ausgeführt, wenn sie stattfindet", so Wordfence. Angesichts der Funktion des Plugins sei damit zu rechnen, dass Administratoren diesen Schritt früher oder später ausführen.
Auch eine deaktivierte verwundbare Version bietet keinen dauerhaften Schutz: Sie stellt zwar ein geringeres Risiko dar, lässt sich aber weiterhin ausnutzen, sobald das Plugin vorübergehend aktiviert wird.
Der zeitliche Ablauf der Offenlegung ist knapp: Nachdem Wordfence Taylors Fund verifiziert hatte, informierten die Forscher die ServMask-Entwickler am 15. August. Fünf Tage später, am 20. August, veröffentlichte der Hersteller die bereinigte Version 7.110. Die Aktualisierungsquote von rund 35 Prozent bedeutet, dass die weit überwiegende Mehrheit der Installationen weiterhin angreifbar ist.