WP Desk ShopMagic: Nicht authentifizierte Local File Inclusion über Rechnungsvorname

Zusammenfassung

ShopMagic – email automation for WordPress, eine WooCommerce-Erweiterung für automatisierte E-Mails, enthält in allen Versionen bis einschliesslich 4.9.0 eine Local File Inclusion-Schwachstelle. Gemäss der CVE-Beschreibung kann ein nicht authentifizierter Angreifer beliebige .php-Dateien auf dem Server einbinden und ausführen, indem er einen Gastkauf mit manipuliertem Rechnungsvornamen abschickt, sofern eine veröffentlichte Automatisierung den Platzhalter für den vollen Vornamen des Kunden verarbeitet. Je nach Serverkonfiguration sind eine Umgehung von Zugriffskontrollen, die Offenlegung sensibler Daten oder die Ausführung von Code möglich. Der CVSS-3.1-Basiswert beträgt 8.1 (HIGH) mit hoher Angriffskomplexität; es sind keine Berechtigungen und keine Benutzerinteraktion nötig.

Betroffen

• ShopMagic – email automation for WordPress (Slug shopmagic-for-woocommerce) bis einschliesslich 4.9.0
• Gemäss der CVE-Beschreibung erfüllt die Standard-Automatisierung 'New Order email with social media profile links' die Ausnutzungsbedingung (nicht unabhängig verifiziert)

Behoben in

Unbekannt. Die CVE verweist auf das Plugin-Tag 4.9.1 als mögliche Korrektur, ein Herstellerhinweis bestätigt dies jedoch nicht. Für die verwandte CVE-2026-114195 nennt eine Quelle 4.9.2 als Lösung.

Umgehung

• Dem Hersteller ist keine Workaround-Massnahme bekannt.
• Automatisierungen deaktivieren, die den Platzhalter für den Vornamen des Kunden verwenden, bis das Update installiert ist (Empfehlung, nicht vom Hersteller).
• Webserver-Logs auf ungewöhnliche Rechnungsnamen bei Gastkäufen und unerwartete Zugriffe auf PHP-Dateien prüfen.

Ausnutzung

• CISA KEV: nicht aufgeführt.
• Kein öffentlicher Proof of Concept durch einen Aggregator erkannt (geringe Verlässlichkeit, Metadaten widersprüchlich).
• Zum Zeitpunkt der Erstellung wurden keine Ausnutzungen in freier Wildbahn gemeldet.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• EPSS 0.01007 gemäss einem Aggregator (nicht massgebend).

Unsere Empfehlung

• Alle WordPress-Seiten mit ShopMagic inventarisieren und die installierte Version erfassen.
• Auf die neueste Version von der WordPress.org-Plugin-Seite aktualisieren; Version 4.9.2 oder neuer als Zielversion verwenden.
• Prüfen, ob aktive Automatisierungen den Platzhalter für den Vornamen des Kunden verwenden, und diese bei fehlendem Bedarf deaktivieren.
• Die Einträge bei Wordfence und CISA KEV auf Änderungen des Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• ShopMagic plugin page on WordPress.org wordpress.org
• WordPress trac: plugin tag 4.9.1 plugins.trac.wordpress.org
• WordPress trac: GuestFactory.php (4.9.0) plugins.trac.wordpress.org
• Strix AI CVE record www.strix.ai
• Vulners CVE record vulners.com
• TheHackerWire vulnerability page www.thehackerwire.com
• GitHub CVE issue 1914 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:11.