Photo Reviews for WooCommerce: Unsichere direkte Objektreferenz (IDOR)
Zusammenfassung
Photo Reviews for WooCommerce bis einschliesslich Version 1.2.30 enthält eine unsichere direkte Objektreferenz (CWE-639). Laut Patchstack kann ein nicht authentifizierter Angreifer aus der Ferne eine ID in einer Anfrage ändern und dadurch Daten anderer Personen offenlegen, während der CVSS-Vektor nur die Auswirkung auf die Verfügbarkeit (A:H) bewertet. Für den Angriff sind weder eine Anmeldung noch eine Benutzerinteraktion nötig, weshalb öffentliche WooCommerce-Shops mit diesem Plugin gefährdet sind.
Betroffen
- VillaTheme Photo Reviews for WooCommerce (WordPress-Plugin, Slug woo-photo-reviews) bis einschliesslich 1.2.30
- Premium-Variante (Revopic): Unbekannt
Behoben in
- Version 1.2.31 oder neuer, laut CVE-Eintrag und Patchstack-Advisory
- Version 1.2.32 ist die neueste behobene Version, die in verwandten CVE-Einträgen dieses Plugins gefunden wurde
- Unbekannt: ob 1.2.31 alle verwandten Probleme vollständig behebt, da CVE-2026-110251 ein separates Problem bis einschliesslich 1.2.31 beschreibt
Umgehung
- Kein Workaround des Herstellers gefunden.
- Patchstack meldet eine Schutzregel für die eigenen Kunden; diese ersetzt das Update nicht.
- Bis das Update eingespielt ist, öffentliche Bild-Uploads für Bewertungen deaktivieren, sofern die Plugin-Einstellungen dies erlauben.
Ausnutzung
- Nicht im Katalog der CISA KEV aufgeführt.
- CISA SSVC: Ausnutzung none, automatisierbar yes, technische Auswirkung partial.
- Patchstack stuft die Lücke als hohe Priorität ein und erwartet eine Ausnutzung; EPSS liegt bei 0.30%.
- Kein öffentlicher Proof of Concept gefunden; dieser Befund ist nicht bestätigt.
Unsere Empfehlung
- Photo Reviews for WooCommerce auf Version 1.2.31 oder neuer aktualisieren, möglichst auf die neueste Version, nach vorgängiger Datensicherung.
- Plugin-Version auf allen WooCommerce-Shops prüfen und ausstehende Bewertungen sowie hochgeladene Bewertungsbilder auf Unerwartetes kontrollieren.
- Falls das Update nicht sofort möglich ist, öffentliche Bild-Uploads für Bewertungen deaktivieren.
- Webserver-Logs auf ungewöhnliche Anfragen an die Bewertungs-Endpunkte des Plugins überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE record CVE-2026-100517 app.opencve.io
- Strix CVE-2026-100517 www.strix.ai
- WordPress.org plugin page Photo Reviews for WooCommerce wordpress.org
- VillaTheme Photo Reviews for WooCommerce villatheme.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 23:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.