Fast Courier WordPress-Plugin: Unauthentifizierte SQL-Injection über REST-Route
Zusammenfassung
Das WordPress-Versandplugin Fast Courier bereinigt einen Wert nicht, bevor er in einer SQL-Abfrage auf einer nicht authentifizierten REST-Route verwendet wird. Ein nicht authentifizierter Angreifer kann daher SQL-Befehle einschleusen und beliebige Daten aus der WordPress-Datenbank lesen, etwa Kunden-, Bestell- oder Benutzerdaten. Es sind weder Anmeldung noch Benutzerinteraktion nötig, und die Lücke ist auf jeder aus dem Internet erreichbaren Website mit einer verwundbaren Version erreichbar.
Betroffen
- Fast Courier WordPress-Plugin (fast-courier-shipping-freight), Versionen 5.0.0 bis vor 5.2.4, gemäss WPScan
- VulDB beschreibt den Bereich als bis 5.2.3, was denselben Umfang abdeckt
- Versionen vor 5.0.0 sind nicht als betroffen aufgeführt; dies konnte nicht weiter bestätigt werden
Behoben in
- Version 5.2.4 (gemäss WPScan und VulDB; nicht am Changelog des Herstellers geprüft)
Umgehung
- In den Quellen ist kein Workaround dokumentiert, da eine korrigierte Version existiert
- Übergangsmassnahme bis zur Installation von 5.2.4 (nicht aus einer Quelle): Plugin deaktivieren, falls es nicht benötigt wird
- Übergangsmassnahme (nicht aus einer Quelle): öffentlichen Zugriff auf die REST-Routen des Plugins über die Web Application Firewall oder den Reverse Proxy einschränken
Ausnutzung
- VulDB stuft die Lücke als 0-Day ein und meldet zum Zeitpunkt des Eintrags keinen verfügbaren Exploit
- Es wurden keine Berichte über Ausnutzung in freier Wildbahn gefunden
- Nicht im Katalog CISA KEV aufgeführt; CISA SSVC bewertet die Ausnutzung als none und die Automatisierbarkeit als yes
- Die EPSS-Werte unterscheiden sich je nach Quelle (0.00345 und 0.21 %), beide sind tief
Unsere Empfehlung
- Alle WordPress-Websites mit dem Fast-Courier-Plugin identifizieren (WordPress-Administration unter Plugins oder Dateiprüfung von wp-content/plugins)
- Plugin auf 5.2.4 oder neuer aktualisieren oder deaktivieren, falls es nicht benötigt wird
- Webserver-Logs auf Anfragen an die REST-Routen des Plugins prüfen
- Falls eine verwundbare Version erreichbar war, die Datenbank als potenziell offengelegt betrachten und Zugangsdaten wo nötig rotieren
- Bestätigen, dass 5.2.4 auch die verwandte Lücke CVE-2026-89289 (fehlende Autorisierung im selben Plugin) behebt
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- VulDB entry 419314 vuldb.com
- Vulners CVE/CNA mirror vulners.com
- Vulners VulnRichment vulners.com
- OffSeq radar radar.offseq.com
- ThreatInt CVE record cve.threatint.com
- GitHub issue with EPSS and KEV data github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:13.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.