VillaTheme Thank You Page Customizer for WooCommerce: Content Injection

Zusammenfassung

Das WordPress-Plugin Thank You Page Customizer for WooCommerce bis und mit Version 1.2.3 enthält eine Code-Injection-Schwachstelle (CWE-94), die Content Injection auf der Dankeseite nach einer Bestellung ermöglicht. Laut Patchstack kann ein Angreifer unerwünschte Inhalte wie Werbung, Betrugstexte oder Malware-Links auf betroffenen Seiten einschleusen. Der CVSS-3.1-Wert beträgt 7.5, es sind keine Berechtigungen und keine Benutzerinteraktion nötig, die Auswirkung wird jedoch nur auf die Vertraulichkeit angegeben. Version 1.2.4 behebt das Problem.

Betroffen

• Thank You Page Customizer for WooCommerce (Slug woo-thank-you-page-customizer) bis und mit Version 1.2.3
• Versionen von n/a bis 1.2.3 gemäss CVE-Beschreibung

Behoben in

• Version 1.2.4 oder neuer (Changelog vom 2026.10.08; maskiert Bestellplatzhalterwerte vor der Ersetzung im Inhalt der Dankeseite)

Umgehung

• Unbekannt ausser Aktualisierung. Kein vom Hersteller dokumentierter Workaround gefunden.
• Falls kein Update möglich ist, das Plugin deaktivieren, bis ein Patch verfügbar ist.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• Nicht in der CISA-KEV-Liste.
• Öffentlicher Proof of Concept: keiner gefunden (nicht verifiziert).
• Ausnutzung in freier Wildbahn: in den geprüften Quellen nicht gemeldet (nicht verifiziert).
• Patchstack beschreibt die Schwachstelle als voraussichtlich ausgenutzt und in Massenausnutzungskampagnen verwendet.

Unsere Empfehlung

• Alle WooCommerce-Websites auf die installierte Version dieses Plugins prüfen, auch ältere Kundenwebsites.
• Unverzüglich auf Version 1.2.4 oder neuer aktualisieren.
• Falls kein Update möglich ist, das Plugin deaktivieren.
• Die Website auf unerwartete Inhalte auf der Dankeseite überwachen und die Patchstack- und VillaTheme-Seiten auf weitere Updates prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• WordPress.org plugin listing (changelog) wordpress.org
• OpenCVE CVE-2026-103071 app.opencve.io
• HOL Guard CVE-2026-103071 hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 20:13.