Customer Email Verification for WooCommerce: Privilegienerweiterung über Verifizierungsparameter

Zusammenfassung

Das WordPress-Plugin Customer Email Verification for WooCommerce bis und mit Version 3.3.0 erlaubt nicht authentifizierten Angreifern, sich als nicht verifizierte WordPress-Konten anzumelden, einschliesslich Administratorkonten. Dies geschieht, wenn die nicht standardmässige 'Encoding method' auf 'hashids' gesetzt ist, da der Aktivierungscode nur etwa 101 mögliche Werte hat und der Token ohne kryptografischen MAC umkehrbar ist. Für die Ausnutzung muss zusätzlich das Hashids-Salt ermittelt oder durch Brute-Force erraten werden und die E-Mail-Adresse des Zielkontos muss unverifiziert bleiben.

Betroffen

• wpcodefactory Customer Email Verification for WooCommerce, Versionen 0 bis 3.3.0
• Nur Websites, bei denen die 'Encoding method' auf 'hashids' gesetzt ist, sind ausnutzbar (Standard ist nicht betroffen)

Behoben in

• Version 3.3.1 (vom Hersteller am 13. Oktober 2026 veröffentlicht; Zuordnung zur CVE ist abgeleitet, vom Hersteller nicht bestätigt)

Umgehung

• Unbekannt. Der Hersteller dokumentiert keinen Workaround.
• Prüfen, dass die Encoding method des Plugins nicht auf 'hashids' gesetzt ist.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• VulDB meldet keinen verfügbaren Exploit. Nicht in CISA KEV gelistet. EPSS unbekannt.

Unsere Empfehlung

• Plugin auf Version 3.3.1 oder neuer aktualisieren.
• Prüfen, dass die Encoding method nicht auf 'hashids' gesetzt ist.
• Konten ohne verifizierte E-Mail-Adresse prüfen, insbesondere Administratorkonten, und auf unerwartete Admin-Konten achten.
• Offene Registrierung einschränken, falls der Shop diese nicht benötigt.
• Logs auf ungewöhnliche Verifizierungsanfragen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  rxsklife/CVE-2026-104745

Quellen der Recherche

• Wordfence threat intelligence www.wordfence.com
• VulDB CVE-2026-104745 vuldb.com
• WPFactory plugin page wpfactory.com
• Plugin changeset plugins.trac.wordpress.org
• Patchstack vulnerability database patchstack.com
• CVE threatint record cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:57.