Pro Like Button WordPress-Plugin: Unauthentifizierte SQL-Injection
Zusammenfassung
Das WordPress-Plugin Pro Like Button vor Version 2.0 bereinigt und maskiert den Parameter 'postid' nicht korrekt, bevor er in einer SQL-Abfrage verwendet wird. Ein Angreifer ohne Anmeldung kann über den öffentlichen Like-/Dislike-Handler manipulierte Anfragen senden und so Datenbankinhalte auslesen, zu denen auch Benutzerdaten gehören können. Der CVSS-Wert liegt bei 8.6 (hoch), und laut CISA-SSVC-Bewertung ist der Angriff automatisierbar. Öffentlicher Exploit-Code ist nicht bestätigt.
Betroffen
- Pro Like Button Versionen vor 2.0, gemäss CVE-Eintrag und WPScan.
- Der genaue betroffene Bereich ist nicht vollständig bestätigt. VulDB beschreibt ihn als bis Version 1.x, und der Changelog zu Version 1.0.5 erwähnt eine verwandte unauthentifizierte SQL-Injection-Korrektur.
Behoben in
- Version 2.0 oder neuer (WPScan: behoben in 2.0).
Umgehung
- Provisorische Massnahme: eine Web Application Firewall-Regel, die SQL-Injection-Muster erkennt und blockiert, die auf den Parameter 'postid' zielen (nur als Übergangslösung).
- Das Datenbankkonto, das WordPress verwendet, auf das minimal nötige Berechtigungsniveau beschränken, um die Auswirkungen zu begrenzen.
- Falls das Plugin nicht zwingend benötigt wird, deaktivieren und entfernen, bis es auf Version 2.0 oder neuer aktualisiert ist.
Ausnutzung
- Kein öffentlicher Proof of Concept bestätigt.
- Nicht im Katalog der CISA Known Exploited Vulnerabilities aufgeführt.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- In den Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
Unsere Empfehlung
- Prüfen, ob das Plugin auf öffentlich erreichbaren WordPress-Websites installiert ist und welche Version läuft.
- Auf Version 2.0 oder neuer aktualisieren oder das Plugin entfernen.
- Datenbank- und Webserver-Logs auf SQL-Injection-artige Anfragen an die Endpunkte des Plugins prüfen.
- Sicherstellen, dass das Datenbankkonto von WordPress nur die erforderlichen Berechtigungen besitzt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan: Pro Like Button < 2.0 - Unauthenticated SQLi via 'postid' Parameter wpscan.com
- VulDB: CVE-2026-89296 vuldb.com
- WordPress.org: Pro Like Button plugin wordpress.org
- Strix: CVE-2026-89296 www.strix.ai
- GitHub issue: CVE-2026-89296 alert record github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:34.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.