Social Web Suite: Unauthentifizierte SQL-Injection über ungesetztes Shared Secret
Zusammenfassung
Das WordPress-Plugin Social Web Suite bis und mit Version 4.1.12 akzeptiert Anfragen, die mit seinem Shared Secret autorisiert sind, auch wenn dieses Shared Secret nicht gesetzt wurde. Zudem wird ein Parameter ohne Bereinigung oder Escaping in einer SQL-Anweisung verwendet. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann dies ausnutzen, um SQL-Injection-Angriffe durchzuführen, und kann dadurch unter Umständen Datenbankinhalte wie Kunden- oder Kontodaten auslesen. Zum Zeitpunkt der Erstellung ist keine Korrektur bekannt.
Betroffen
- WordPress-Plugin Social Web Suite, Versionen bis und mit 4.1.12
Behoben in
Unbekannt. WPScan listet keine bekannte Korrektur.
Umgehung
- Plugin deaktivieren und entfernen, sofern es nicht geschäftskritisch ist.
- Falls es verbleiben muss, den Zugriff auf seine Endpunkte auf Ebene Webserver oder Firewall einschränken.
- Prüfen, ob das Shared Secret in den Plugin-Einstellungen auf einen starken Zufallswert gesetzt werden kann. Dies zuerst auf einem Nicht-Produktivsystem testen.
Ausnutzung
- Öffentlicher Proof of Concept: nicht bestätigt.
- In freier Wildbahn: nichts gefunden. Nicht im CISA-KEV-Katalog aufgeführt.
- EPSS: rund 0.18% (niedrig).
- CISA SSVC: automatisierbar, Ausnutzungsstatus zum Zeitpunkt des Eintrags 'none'.
Unsere Empfehlung
- Prüfen, ob das Plugin auf einer WordPress-Installation vorhanden ist.
- Falls es vorhanden ist und keine Korrektur existiert, das Plugin deaktivieren und entfernen.
- Falls eine Entfernung nicht möglich ist, die Endpunkte einschränken, vorgängig ein vollständiges Backup erstellen und die Protokolle auf ungewöhnliche Anfragen an die Plugin-Pfade prüfen.
- Auf eine Korrektur des Herstellers oder ein Update von Patchstack oder WPScan achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability entry wpscan.com
- OpenCVE CVE-2026-88930 app.opencve.io
- Patchstack via Vulners vulners.com
- Radar Offseq CVE-2026-88930 radar.offseq.com
- CVE Threatint CVE-2026-88930 cve.threatint.com
- VulDB entry 428285 (related CVE-2026-93904) vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:58.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.