Ausgerechnet das Barrierefreiheits-Plug-in hatte eine SQL-Lücke
Ally – Web Accessibility & Usability (WordPress-Plug-in)
Das Plug-in "Ally", das WordPress-Seiten barrierefreier machen soll, enthielt eine SQL-Injection-Lücke. Über präparierte Adressen ließen sich eigene Datenbankbefehle ausführen, ohne dass eine Anmeldung nötig war. Die Einstufung lautet "hoch".
Betroffen sind alle Ausgaben bis einschließlich 4.0.3, behoben ist es in 4.1.0. Das Plug-in ist auf rund 400.000 Websites im Einsatz. Angriffe waren zum Zeitpunkt der Meldung nicht bekannt.
Was das für dich heißt
Barrierefreiheit ist der richtige Gedanke - nur ist sie keine Sache, die man nachträglich als Zusatzteil einbaut. Ein Plug-in, das Überschriften und Kontraste im Nachhinein zurechtrückt, repariert Symptome und bringt dafür eine weitere Angriffsfläche mit.
Richtig gemacht kostet Barrierefreiheit nichts extra: lesbare Kontraste, Bedienbarkeit per Tastatur und saubere Beschriftungen entstehen beim Bauen, nicht danach. Genau deshalb steckt das bei mir in jedem Paket, statt als Erweiterung dazuzukommen.
Die Zusammenfassung der Fakten ist mit KI-Unterstützung entstanden und wurde vor der Veröffentlichung geprüft. Die Einordnung stammt von mir. Für den Inhalt der verlinkten Seite ist deren Betreiber verantwortlich.
Kennung CVE-2026-2413
Quelle heise online ↗