Veröffentlicht am 05.08.2026
Wer auf seiner WordPress-Website eine Filial- oder Händlerkarte über das Plugin „Super Store Finder“ einbindet, hat aktuell ein ernstes Problem: In allen Versionen bis einschließlich 7.8 klafft eine kritische Sicherheitslücke, über die Angreifer ohne jede Anmeldung die komplette Datenbank Ihrer Website auslesen können – inklusive Benutzernamen, E-Mail-Adressen, gehashter Passwörter und Kundendaten. Die Schwachstelle trägt die Kennung CVE-2026-12965 und wurde mit einem CVSS-Score von 9.1 von 10 bewertet. Und das Schlimmste: Einen offiziellen Patch des Herstellers gibt es bislang nicht.
In diesem Artikel erklären wir, was genau passiert ist, ob Sie betroffen sind, wie Sie das in wenigen Minuten prüfen – und welche Schritte Sie jetzt sofort einleiten sollten, auch mit Blick auf die DSGVO.
Am 3. August 2026 wurde eine kritische Sicherheitslücke im WordPress-Plugin Super Store Finder (Plugin-Kennung: superstorefinder-wp) öffentlich gemacht. Es handelt sich um ein kommerzielles Store-Locator-Plugin, das Google Maps einbindet und es Website-Betreibern ermöglicht, Filial- oder Händlerkarten auf ihrer WordPress-Seite darzustellen – zum Beispiel eine Karte mit allen Standorten eines Unternehmens.
Entdeckt wurde die Schwachstelle am 24. Juli 2026 vom Sicherheitsforscher Michael Bielenberg, der sie an WPScan meldete – die Schwachstellendatenbank des WordPress-Security-Teams von Automattic. Die Veröffentlichung erfolgte am 3. August 2026 zeitgleich in mehreren maßgeblichen Datenbanken: bei WPScan, im NVD (der National Vulnerability Database des US-amerikanischen NIST), im CVE-Verzeichnis von MITRE, in der europäischen Schwachstellendatenbank der ENISA (EUVD-2026-52169) sowie in der GitHub Advisory Database (GHSA-hr2r-68v6-qv47).
Die Beschreibung von WPScan bringt das Problem auf den Punkt:
„The plugin does not sanitize a parameter of an unauthenticated AJAX action before using it in a SQL query, allowing unauthenticated attackers to perform SQL injection and extract data from the database. No known fix.“ – WPScan
Auf Deutsch: Das Plugin bereinigt einen bestimmten Eingabewert nicht, bevor er in einer Datenbankabfrage verwendet wird. Dadurch können nicht angemeldete Angreifer eine sogenannte SQL-Injection durchführen und Daten aus der Datenbank abgreifen. Ein Patch ist nicht bekannt.
Um das Risiko einzuordnen, hilft ein kurzer Blick auf die Technik. Keine Sorge – wir halten es einfach.
Eine SQL-Injection ist eine Angriffstechnik, bei der ein Angreifer über ein Eingabefeld oder einen Web-Parameter eigene Datenbankbefehle einschleust. Normalerweise sollte eine Website Benutzereingaben „bereinigen“ (englisch: sanitize), also gefährliche Sonderzeichen entfernen oder unschädlich machen. Genau das versäumt Super Store Finder.
Konkret liegt das Problem im Parameter ssf_tracking, der über eine sogenannte AJAX-Aktion übergeben wird. AJAX ist eine Technik, mit der eine Website im Hintergrund Daten mit dem Server austauscht, ohne die Seite neu zu laden. WordPress stellt dafür die Datei admin-ajax.php bereit – und diese ist auch für nicht angemeldete Besucher erreichbar. Der Wert von ssf_tracking wird ohne jede Prüfung direkt in eine SQL-Datenbankabfrage eingebaut.
Das Ergebnis: Ein Angreifer benötigt kein Benutzerkonto, kein Passwort und keinerlei Vorwissen. Ein einfacher, automatisierbarer HTTP-Request genügt, um beliebige Datenbankbefehle auszuführen. Fachlich wird das nach CWE-89 („Improper Neutralization of Special Elements used in an SQL Command“) klassifiziert – dem Standard-Kennzeichen für SQL-Injection-Schwachstellen.
Der offizielle CVSS-Vektor lautet AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Übersetzt bedeutet das:
ENISA und die GitHub Advisory Database bewerten die Lücke mit 9.1 (Critical). WPScan selbst nennt 8.6 (High), was auf einen abweichend eingeschätzten Scope-Parameter zurückgeht – am kritischen Gesamtbild ändert das nichts.
Betroffen sind alle WordPress-Installationen, auf denen das Plugin Super Store Finder in Version 7.8 oder niedriger installiert ist. Da bislang kein Patch existiert, gilt schlicht jede installierte Version als verwundbar.
Laut Wordfence Intelligence war das Plugin im April 2025 mit rund 6.992 aktiven Installationen weltweit im Einsatz. Die Plattform sitestatsdb.com weist im Juli/August 2026 mindestens 130 öffentlich nachweisbare Websites aus, die das Plugin nutzen. Auffällig: Das Plugin ist nicht mehr im offiziellen WordPress.org-Repository gelistet – ein Warnsignal, denn es ist unklar, ob und wann der Hersteller überhaupt noch einen Patch nachliefern wird.
Besonders bedenklich ist die Vorgeschichte des Plugins. Seit 2020 wurden insgesamt 12 Schwachstellen dokumentiert, darunter mindestens fünf unauthentifizierte SQL-Injections – unter anderem CVE-2024-43978 mit dem maximalen CVSS-Score von 10.0. Das deutet auf systematische Sicherheitsmängel in der Entwicklung hin.
Sie können in wenigen Minuten feststellen, ob Ihre Website gefährdet ist:
ihre-website.de/wp-admin) und gehen Sie zu Plugins > Installierte Plugins.wp-content/plugins/superstorefinder-wp/readme.txt öffnen und dort unter „Stable tag“ die Version ablesen.wpscan --url https://ihre-website.de --enumerate p) findet bekannte Schwachstellen in installierten Plugins automatisch.access.log) auf ungewöhnliche POST-Anfragen an /wp-admin/admin-ajax.php, besonders in Verbindung mit dem Parameter ssf_tracking oder SQL-Sonderzeichen wie ', --, UNION oder SELECT.Da kein Patch verfügbar ist, gibt es nur eine wirklich sichere Maßnahme: das Plugin entfernen. Gehen Sie wie folgt vor:
wp_users) auf unbekannte Administrator-Accounts und die Datenbank auf ungewöhnliche Einträge.Die Zahlen sprechen eine deutliche Sprache. Laut Patchstack wurden 2025 im WordPress-Ökosystem über 11.334 neue Schwachstellen entdeckt – ein Anstieg von 42 % gegenüber dem Vorjahr. 91 % davon steckten in Plugins. Und noch ein alarmierender Wert: 46 % der Schwachstellen erhielten bis zur Veröffentlichung keinen Patch – genau wie im vorliegenden Fall.
Der EPSS-Score für CVE-2026-12965 – ein Maß für die Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen – liegt derzeit bei nur 0,19 %. Das klingt beruhigend, ist aber trügerisch. Denn Patchstack weist darauf hin, dass die mediane Zeit bis zur Massenausnutzung kritischer WordPress-Schwachstellen nur fünf Stunden beträgt. Ein öffentlicher Exploit-Code liegt zwar noch nicht vor – WPScan will diesen erst nach Behebung veröffentlichen –, doch unauthentifizierte SQL-Injections werden erfahrungsgemäß innerhalb von Stunden bis Tagen automatisiert ausgenutzt.
Wordfence blockierte allein 2024 über 1,1 Milliarden SQL-Injection-Angriffsversuche auf WordPress-Websites. SQL-Injection war damit die zweithäufigste blockierte Angriffsart.
Für deutsche KMU hat diese Schwachstelle eine besondere Brisanz. Gelingt eine SQL-Injection, können sämtliche personenbezogenen Daten aus der WordPress-Datenbank abgegriffen werden – Benutzernamen, E-Mail-Adressen, gehashte Passwörter, Kundendaten, Bestellhistorien und Kontaktformular-Einträge. Das ist eine „Verletzung des Schutzes personenbezogener Daten“ im Sinne von Art. 4 Nr. 12 DSGVO.
Nick Paliughi von FreshySites beschreibt die praktischen Folgen so:
„An unauthenticated SQL injection that permits data extraction could expose internal information such as user records, customer data, or other sensitive entries stored in the database. […] which raises the risk of targeted phishing or social engineering against staff or customers.“
Kommt es zu einer solchen Datenpanne, greift die Meldepflicht nach Art. 33 DSGVO: Sobald Sie Kenntnis erlangen, müssen Sie den Vorfall unverzüglich und möglichst binnen 72 Stunden Ihrer zuständigen Landes-Datenschutzbehörde melden. Besteht ein voraussichtlich hohes Risiko für die Betroffenen, müssen Sie diese nach Art. 34 DSGVO zusätzlich selbst informieren.
Besonders wichtig: Bereits der Betrieb eines Plugins mit bekannter, ungepatchter Schwachstelle kann als Verstoß gegen Art. 32 DSGVO (Sicherheit der Verarbeitung / Stand der Technik) gewertet werden – auch ohne dass ein tatsächlicher Angriff stattgefunden hat. Die niedersächsische Datenschutzbehörde verhängte in einem vergleichbaren Fall ein Bußgeld von 65.500 Euro gegen einen Online-Shop, der veraltete Software mit bekannten SQL-Injection-Risiken einsetzte. Der maximale Bußgeldrahmen der DSGVO reicht bis zu 10 Millionen Euro bzw. 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4) und in schwereren Fällen bis zu 20 Millionen Euro bzw. 4 % (Art. 83 Abs. 5).
CVE-2026-12965 ist eine kritische Schwachstelle mit einem Höchstmaß an Gefährdungspotenzial: aus der Ferne ausnutzbar, ohne Anmeldung, technisch einfach – und ohne verfügbaren Patch. Wer das Plugin Super Store Finder in Version 7.8 oder älter einsetzt, sollte nicht abwarten, bis der Hersteller reagiert. Angesichts der Tatsache, dass das Plugin bereits aus dem offiziellen WordPress-Verzeichnis verschwunden ist und eine lange Historie ähnlicher Lücken aufweist, ist ein Patch keineswegs garantiert.
Unsere klare Empfehlung: Deaktivieren und deinstallieren Sie das Plugin noch heute. Prüfen Sie Ihre Datenbank und Logs auf Anzeichen einer Ausnutzung, ändern Sie vorsorglich Ihre Passwörter und setzen Sie eine Web Application Firewall ein. Falls Sie eine Filialsuche brauchen, wechseln Sie auf ein aktiv gepflegtes Alternativ-Plugin. Und dokumentieren Sie alle Schritte – so schützen Sie nicht nur Ihre Daten, sondern erfüllen auch Ihre Pflichten aus der DSGVO.
Wenn Sie unsicher sind, ob Ihre Website betroffen ist oder bereits kompromittiert wurde, holen Sie sich fachkundige Unterstützung. Bei einer kritischen Sicherheitslücke wie dieser zählt jede Stunde.