Expivi 3D Product Configurator for WooCommerce: Unauthentifizierte Remote Code Execution

Zusammenfassung

Das WordPress-Plugin Expivi 3D Product Configurator for WooCommerce bis und mit Version 2.16.2 enthält eine Schwachstelle im POST-Parameter 'xpv_image'. Fehlende Authentifizierungs- und Nonce-Prüfungen erlauben es einem nicht authentifizierten Angreifer, mit einer einzigen präparierten POST-Anfrage an eine beliebige URL der Website die Eingabe unbereinigt in eine PDF-Vorlage mit aktivierter PHP-Ausführung einzuschleusen. Ein erfolgreicher Angriff erlaubt die Ausführung beliebigen Codes auf dem Webserver. Ein öffentlicher Proof of Concept existiert, der CVSS-Score beträgt 9.8 (kritisch).

Betroffen

• Expivi 3D Product Configurator for WooCommerce (WordPress-Plugin), alle Versionen bis und mit 2.16.2

Behoben in

• Version 2.16.3 laut einer Drittanbieter-README mit Proof of Concept; noch nicht durch den Hersteller, Wordfence oder das WordPress.org-Changelog bestätigt. Vor dem Rollout prüfen.
• Jede Version neuer als 2.16.2 ist die einzige dokumentierte Abhilfe.

Umgehung

• Kein bekannter Workaround des Herstellers.
• Falls das Patchen verzögert wird, Plugin deaktivieren und entfernen. Unbestätigt, ob ein deaktiviertes Plugin den Handler weiterhin bereitstellt; installierte Kopien bis zur Entfernung als gefährdet betrachten.

Ausnutzung

• Öffentlicher Proof of Concept: ja (GitHub-Repository).
• CISA KEV: laut geprüftem Drittanbieter-Aggregator nicht gelistet; im CISA-Katalog überprüfen.
• Ausnutzung in freier Wildbahn: unbekannt.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.

Unsere Empfehlung

• Alle WordPress- und WooCommerce-Websites mit diesem Plugin identifizieren, zuerst die aus dem Internet erreichbaren.
• Auf eine Version neuer als 2.16.2 aktualisieren, nachdem die fixe Version im offiziellen Changelog geprüft wurde, oder das Plugin entfernen.
• Falls eine verwundbare Version exponiert war, auf Kompromittierung prüfen: unerwartete PHP-Dateien in Upload- und Plugin-Verzeichnissen, verdächtige POST-Anfragen in den Webserver-Logs; bei Verdacht Zugangsdaten rotieren.
• Auf aktive Ausnutzung überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  kayes817/CVE-2026-103889

Quellen der Recherche

• Wordfence advisory www.wordfence.com
• Plugin Trac changeset (verify fix) plugins.trac.wordpress.org
• Vulnerable code: class-pdf.php plugins.trac.wordpress.org
• Vulnerable code: class-expivi-cart-manager.php plugins.trac.wordpress.org
• WordPress.org plugin page ja.wordpress.org
• Public PoC (GitHub) github.com
• VulDB entry vuldb.com
• CVEMon record cvemon.intruder.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:02.