VillaTheme Salevo: Code-Injection im WordPress-Plugin
Zusammenfassung
Das VillaTheme Salevo WordPress-Plugin (woo-boost-sales) bis und mit Version 1.3.0 enthält eine Code-Injection-Schwachstelle (CWE-94). Gemäss CVSS-3.1-Vektor der CNA könnte ein nicht authentifizierter Angreifer sie über das Netzwerk ohne Benutzerinteraktion ausnutzen, mit hohen Auswirkungen auf die Vertraulichkeit. Die Beschreibung ist allgemein gehalten und nennt die betroffene Komponente nicht, und der Vektor ist für eine Code-Injection-Schwachstelle fragwürdig, weshalb die tatsächlichen Auswirkungen nicht vollständig bestätigt sind.
Betroffen
- VillaTheme Salevo (woo-boost-sales) WordPress-Plugin, Versionen bis und mit 1.3.0
Behoben in
- Version 1.3.1 (gemäss CNA-Versionsdaten und Patchstack; noch nicht durch den Hersteller oder das WordPress.org-Changelog bestätigt)
Umgehung
- Unbekannt. Keine Workaround-Massnahme des Herstellers gefunden. Plugin deaktivieren oder entfernen, falls kein Update möglich ist.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- Patchstack erwartet eine Ausnutzung und verweist auf Massenausnutzungskampagnen für diese Schwachstellenklasse.
Unsere Empfehlung
- Alle WordPress-/WooCommerce-Websites auf das Salevo-Plugin prüfen und die installierte Version kontrollieren.
- Sobald die Korrektur bestätigt ist, auf Version 1.3.1 oder neuer aktualisieren.
- Falls kein Update möglich ist, das Plugin deaktivieren oder entfernen.
- Logs und Dateisystem auf unerwartete PHP-Dateien und nicht autorisierte Admin-Änderungen prüfen.
- Bis Hersteller oder Patchstack den Schweregrad klären, mit dem CVSS-Wert 7.5 planen (VulDB bewertet mit 5.3).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE CVE-2026-103081 app.opencve.io
- VulDB 420295 vuldb.com
- Vulners VulnRichment CVE-2026-103081 vulners.com
- Qualys application security detections, October 2026 notifications.qualys.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 16:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.