Die Schwachstelle steckt im WordPress-Plugin WP Review Slider Pro, das Kundenbewertungen auf Websites anzeigt. Es handelt sich um eine SQL-Injection in der Verarbeitung der AJAX-Aktion zum Auffinden von Bewertungen (wpfb_find_reviews). Die Ursache: Der zuständige Programmteil übernimmt einen vom Nutzer gelieferten Parameter, der mehrere Werte enthalten kann, ungeprüft und ohne jede Bereinigung oder Typumwandlung. Diese Werte werden anschließend direkt in eine Datenbankabfrage eingefügt – in eine WHERE-Bedingung, die nach bestimmten Datensätzen sucht – und ohne die übliche abgesicherte Vorbereitung der Abfrage ausgeführt. Dadurch kann ein Angreifer eigene SQL-Befehle in die bestehende Abfrage einschleusen. Voraussetzung ist lediglich ein angemeldetes Konto mit niedriger Berechtigung (Abonnenten-Ebene oder höher), wie sie viele Websites mit offener Registrierung vergeben. Auf diesem Weg lassen sich vertrauliche Informationen aus der Datenbank auslesen, etwa Benutzerdaten oder andere geschützte Inhalte.