VillaTheme AFFI: Object Injection durch unsichere Deserialisierung

Zusammenfassung

Das WordPress-Plugin AFFI – Affiliate Marketing for WooCommerce bis und mit Version 1.0.10 deserialisiert nicht vertrauenswürdige Daten, was PHP Object Injection ermöglicht. Gemäss CNA kann ein nicht authentifizierter Angreifer dies über das Netzwerk mit geringer Komplexität und ohne Benutzerinteraktion ausnutzen, was die serverseitige Verarbeitung manipulieren kann und hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit hat. Der Changelog des Herstellers deutet darauf hin, dass die Korrektur in Version 1.0.11 PHP-Serialisierung für Referral-Cookies durch signiertes JSON ersetzt.

Betroffen

• AFFI – Affiliate Marketing for WooCommerce (VillaTheme), alle Versionen bis und mit 1.0.10
• Betroffener Bereich laut einem Aggregator: Versionen unter 1.0.11

Behoben in

• Version 1.0.11 oder neuer (Changelog des Herstellers vom 2026.10.08)

Umgehung

• Keine gefunden. Das Aktualisieren des Plugins ist die einzige in den Quellen genannte Massnahme.
• Unbekannt, ob das Deaktivieren des Plugins oder das Blockieren seiner Endpunkte eine taugliche Übergangslösung ist.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Zum Zeitpunkt der Erstellung ist keine bekannte Ausnutzung bekannt.
• Nicht in der CISA-KEV-Liste. EPSS 0.00328.
• Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• Alle WordPress-Seiten mit AFFI inventarisieren und die Version erfassen.
• Auf Version 1.0.11 oder neuer aktualisieren oder das Plugin entfernen, falls es nicht genutzt wird.
• Aus dem Internet erreichbare WooCommerce-Seiten auf unerwartete Zugriffe prüfen und Logs auf ungewöhnliche Anfragen an das Plugin untersuchen.
• NVD- und Patchstack-Einträge erneut prüfen, da sich der NVD-Status geändert haben könnte.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory CVE-2026-104398 patchstack.com
• WordPress.org plugin listing (changelog) wordpress.org
• OpenCVE CVE-2026-104398 app.opencve.io
• Rapid7 via Vulners CVE-2026-104398 vulners.com
• HOL Guard CVE-2026-104398 hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:45.