Recordbrowser WordPress-Plugin: Unauthentifizierte SQL-Injection über recordid
Zusammenfassung
Das WordPress-Plugin Recordbrowser bis und mit Version 1.1.7 maskiert und escaped den Parameter recordid nicht, bevor er in einer SQL-Abfrage verwendet wird. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann zusätzliche SQL-Abfragen anhängen und sensible Informationen aus der WordPress-Datenbank auslesen. Für den Angriff sind kein Konto und keine Benutzerinteraktion nötig, weshalb im Internet erreichbare Websites mit installiertem Plugin gefährdet sind.
Betroffen
- WordPress-Plugin Recordbrowser, alle Versionen bis und mit 1.1.7
Behoben in
Unbekannt. Es ist keine korrigierte Version bekannt.
Umgehung
- Plugin deaktivieren und entfernen, falls es nicht benötigt wird.
- Falls das Plugin aktiv bleiben muss, Zugriff auf dessen Endpunkte auf vertrauenswürdige Netzwerke beschränken oder diese hinter einer Authentifizierung platzieren.
- Eine WAF- oder Sicherheitsplugin-Regel für den Parameter recordid kann das Risiko verringern; die Verfügbarkeit solcher Regeln ist nicht verifiziert.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden.
- Gemäss einem automatisierten Tracker nicht im CISA-KEV-Katalog aufgeführt (nicht direkt verifiziert).
- EPSS etwa 0.17%.
- Öffentlicher Proof of Concept: nicht bestätigt.
Unsere Empfehlung
- Prüfen, ob das Plugin Recordbrowser auf einer WordPress-Installation vorhanden ist, auch auf Test- und Staging-Systemen.
- Plugin entfernen oder deaktivieren, falls es nicht benötigt wird, da keine Korrektur verfügbar ist.
- Falls das Plugin benötigt wird, den Zugriff einschränken und eine WAF-Regel für den Parameter recordid anwenden.
- Web-Server- und Datenbank-Logs auf ungewöhnliche Anfragen prüfen; bei vermuteter Kompromittierung Datenbank-Zugangsdaten und WordPress-Admin-Passwörter erneuern.
- Prüfen, ob personenbezogene Daten offengelegt worden sein könnten, was Pflichten nach dem revDSG auslösen kann.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability entry wpscan.com
- OpenCVE CVE-2026-89232 app.opencve.io
- Vulners VulnRichment CVE-2026-89232 vulners.com
- OffSeq radar CVE-2026-89232 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:53.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.