Site Setup Wizard WordPress-Plugin: Unauthentifizierte SQL-Injection
Zusammenfassung
Das WordPress-Plugin Site Setup Wizard bis und mit Version 1.5.8 bereinigt einen Parameter nicht korrekt, der in einer SQL-Anweisung verwendet wird. Ein nicht authentifizierter Angreifer kann über den Endpunkt ssw_check_admin_email_exists präparierte Anfragen senden und Daten aus der Datenbank auslesen. Es ist keine Anmeldung erforderlich, daher ist jede über das Internet erreichbare WordPress-Website mit installiertem Plugin gefährdet.
Betroffen
- WordPress-Plugin Site Setup Wizard, Versionen 0 bis 1.5.8
- Hersteller und Autor des Plugins sind nicht bestätigt
Behoben in
Unbekannt. WPScan listet keine bekannte Korrektur.
Umgehung
- Plugin deaktivieren und entfernen, falls es nicht benötigt wird
- Falls es verbleiben muss, den Zugriff auf den Endpunkt ssw_check_admin_email_exists über die Web Application Firewall oder den Reverse Proxy blockieren oder einschränken
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht in CISA KEV gelistet
- CISA SSVC: Ausnutzung keine, automatisierbar ja
- Zum Zeitpunkt der Recherche kein öffentlicher Proof of Concept gefunden
Unsere Empfehlung
- WordPress-Websites auf das Plugin Site Setup Wizard prüfen
- Plugin entfernen, wo es nicht benötigt wird
- Wo es benötigt wird, den verwundbaren Endpunkt einschränken, Web-Server- und WordPress-Logs auf Anfragen an diesen prüfen und die Datenbank auf unerwartete Änderungen kontrollieren
- WPScan-Eintrag und CVE-Datensatz auf eine korrigierte Version überwachen und spätere Versionen erst als sicher betrachten, wenn der Hersteller dies bestätigt
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability entry wpscan.com
- OpenCVE CVE-2026-89195 app.opencve.io
- Vulners NVD record CVE-2026-89195 vulners.com
- Vulners VulnCheck record CVE-2026-89195 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:00.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.