Kritieke Traveler-kwetsbaarheid CVE-2026-93947 maakt SQL-injection zonder login mogelijk
Een kritieke kwetsbaarheid in het WordPress-thema Traveler kan aanvallers zonder bestaande gebruikersaccount in staat stellen om ongeautoriseerde databasequery’s uit te voeren.
Het beveiligingsprobleem is geregistreerd als CVE-2026-93947 en heeft een CVSS 3.1-score van 9,3.
De kwetsbaarheid betreft Blind SQL Injection en is op 9 oktober 2026 openbaar gemaakt.
Wat is Traveler CVE-2026-93947?
Traveler is een commercieel WordPress-thema dat voornamelijk wordt gebruikt voor reiswebsites, hotelreserveringen, vakantieverhuur, tours en boekingsplatformen.
Het thema bevat verschillende functies voor het beheren van accommodaties, reserveringen, beschikbaarheid en klantgegevens.
CVE-2026-93947 ontstaat doordat bepaalde gegevens die door bezoekers worden aangeleverd onvoldoende veilig worden verwerkt in SQL-databasequery’s.
Een aanvaller kan hierdoor onder specifieke omstandigheden de structuur of werking van een databasequery beïnvloeden.
Welke Traveler-versies zijn kwetsbaar?
- CVE: CVE-2026-93947
- Software: Traveler WordPress Theme
- Getroffen versies: Tot en met 3.2.9
- Eerste gecorrigeerde versie volgens de beschikbare CVE-informatie: 3.3
- Actuele aanbevolen versie: 3.4 of nieuwer
- Kwetsbaarheid: Blind SQL Injection
- CVSS 3.1: 9,3
- Ernst: Critical
- Authenticatie vereist: Nee
De ontwikkelaar heeft Traveler 3.3 op 25 september 2026 uitgebracht met beveiligingsverbeteringen.
Op 9 oktober 2026 verscheen versie 3.4 met aanvullende beveiligingsaanpassingen.
Vservs adviseert daarom om niet bij een oudere release te blijven, maar waar mogelijk direct de nieuwste ondersteunde versie te installeren.
Hoe werkt Blind SQL Injection?
WordPress gebruikt een database voor het opslaan van berichten, gebruikers, instellingen en aanvullende gegevens van plugins en thema’s.
Bij SQL-injection kan een aanvaller proberen om speciaal samengestelde invoer te laten verwerken als onderdeel van een databasequery.
Wanneer de betreffende query onvoldoende is beveiligd, kan deze invoer de werking van de databaseopdracht veranderen.
Bij Blind SQL Injection worden de resultaten niet noodzakelijk rechtstreeks zichtbaar voor de aanvaller.
Door verschillen in serverreacties, foutmeldingen of verwerkingstijden te analyseren, kan onder bepaalde omstandigheden toch informatie uit de database worden afgeleid.
Welke gegevens kunnen risico lopen?
De gevolgen zijn afhankelijk van de databaseconfiguratie en de rechten van het WordPress-databaseaccount.
Mogelijke risico’s zijn:
- ongeautoriseerde toegang tot opgeslagen databasegegevens;
- uitlezen van gebruikersinformatie;
- blootstelling van boekings- en reserveringsgegevens;
- inzicht in WordPress-configuratiegegevens;
- verhoogde databasebelasting door gemanipuleerde query’s;
- verstoring van de websitebeschikbaarheid.
De CVSS-classificatie vermeldt een hoge potentiële impact op vertrouwelijkheid.
Dit betekent niet dat voor iedere kwetsbare installatie daadwerkelijk gegevens zijn buitgemaakt.
Wordt CVE-2026-93947 actief uitgebuit?
Op 11 oktober 2026 is geen betrouwbare bevestiging gevonden van actieve exploitatiecampagnes die specifiek gericht zijn op CVE-2026-93947.
De kwetsbaarheid is wel ernstig vanwege de mogelijkheid om zonder authenticatie databasequery’s te beïnvloeden.
Omdat technische informatie over de kwetsbaarheid openbaar is, moeten beheerders rekening houden met mogelijke toekomstige exploitatiepogingen.
Controleer Traveler-websites op verdachte activiteiten
Wanneer een website langere tijd een kwetsbare Traveler-versie heeft gebruikt, is aanvullend onderzoek verstandig.
Controleer onder andere:
- ongebruikelijke verzoeken naar publieke boekings- en zoekfunctionaliteit;
- herhaalde verzoeken met afwijkende queryparameters;
- onverklaarbare databasefouten;
- opvallend lange verwerkingstijden van bepaalde verzoeken;
- onverwachte databasebelasting;
- verdachte wijzigingen aan WordPress-gebruikers;
- ongebruikelijke activiteiten in webserver- en database-auditlogs.
Deze controles zijn algemene onderzoekspunten en vormen geen specifieke, bevestigde Indicators of Compromise voor CVE-2026-93947.
Wat moeten beheerders doen?
- Controleer of het Traveler-thema wordt gebruikt.
- Controleer de geïnstalleerde themaversie.
- Installeer Traveler 3.4 of een nieuwere gecorrigeerde versie.
- Maak vooraf een actuele back-up.
- Controleer ook de bij Traveler behorende plugins.
- Test reserveringen, betalingen en andere belangrijke functionaliteit na de update.
- Controleer de database en beschikbare serverlogs op verdachte activiteiten.
- Beperk de rechten van het WordPress-databaseaccount tot wat noodzakelijk is.
Wanneer bijwerken niet direct mogelijk is, kan een webapplicatiefirewall met geschikte SQL-injectiondetectie aanvullende bescherming bieden.
Een WAF vervangt de beveiligingsupdate niet.
Managed WordPress Hosting bij Vservs
WordPress-websites met reserverings- of betalingsfunctionaliteit stellen aanvullende eisen aan beveiliging en beschikbaarheid.
Met Managed WordPress Hosting van Vservs kunnen organisaties hun WordPress-omgeving technisch laten beheren.
Vservs biedt onder andere beheerde WordPress-omgevingen met monitoring, beveiligingsupdates en back-ups.
Voor websites met intensieve databaseactiviteiten of bedrijfskritische functionaliteit zijn ook eigen beheerde VPS-omgevingen beschikbaar.
Conclusie
CVE-2026-93947 is een kritieke SQL-injectionkwetsbaarheid in het WordPress-thema Traveler.
Een aanvaller kan onder bepaalde omstandigheden zonder bestaande gebruikersaccount databasegegevens benaderen.
Vservs adviseert beheerders van Traveler-websites om direct naar versie 3.4 of nieuwer bij te werken.