Checkout Files Upload for WooCommerce: Unauthentifizierter Dateiupload führt zu RCE
Zusammenfassung
Das WordPress-Plugin Checkout Files Upload for WooCommerce prüft Dateitypen nicht, wenn die Einstellung für erlaubte Dateitypen leer ist. Unauthentifizierte Angreifer können beliebige Dateien hochladen, einschliesslich PHP-Dateien. Auf Servern, die PHP aus dem Upload-Verzeichnis ausführen, kann dies zu Remote Code Execution mit Zugriff auf Shop- und Kundendaten führen. Der CVSS-Basiswert laut den vorliegenden Daten beträgt 9.8, die NVD-Analyse steht jedoch noch aus.
Betroffen
- Checkout Files Upload for WooCommerce Versionen vor 2.4.0 (laut WPScan)
- Genaue niedrigste betroffene Version: Unbekannt.
- Verwundbare Bedingung: Einstellung für erlaubte Dateitypen ist leer.
Behoben in
- Auf Version 2.4.0 oder neuer aktualisieren.
Umgehung
- In den Plugin-Einstellungen eine explizite Liste erlaubter Dateitypen setzen und prüfen, dass PHP-Uploads blockiert werden.
- PHP-Ausführung im Upload-Verzeichnis auf dem Webserver blockieren.
- Plugin deaktivieren und entfernen, falls keine dieser Massnahmen möglich ist.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn (Threat Radar).
- Nicht in CISA KEV gelistet.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Öffentlicher Proof of Concept: Nicht bestätigt.
Unsere Empfehlung
- Prüfen, ob das Plugin installiert ist und welche Version aktiv ist.
- Vorrangig auf Version 2.4.0 oder neuer aktualisieren.
- Bis zur Aktualisierung eine explizite Liste erlaubter Dateitypen setzen und PHP-Ausführung im Upload-Verzeichnis blockieren.
- Upload-Verzeichnis auf unerwartete PHP- oder andere ausführbare Dateien prüfen.
- Webserver-Logs auf ungewöhnliche Anfragen an den Upload-Endpunkt überwachen.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
noxcrypt-x/CVE-2026-103688
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- VulDB entry vuldb.com
- Threat Radar (OffSeq) radar.offseq.com
- CVE mirror (threatint) cve.threatint.com
- WordPress.org plugin listing tr.wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:17.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.