PPOM WooCommerce-Plugin: Nicht authentifizierte beliebige Dateilöschung

Zusammenfassung

Das WordPress-Plugin PPOM (Product Addons & Custom Fields for WooCommerce) validiert Dateipfade in der Funktion rename_files unzureichend. Betroffen sind alle Versionen bis einschliesslich 34.0.10. Ein nicht authentifizierter Angreifer kann beliebige Dateien auf dem Server löschen, etwa wp-config.php, was zur Remote Code Execution führen kann. Die verschobene Datei wird byte-identisch in das öffentlich zugängliche Verzeichnis wp-content/uploads/ppom_files/confirmed/ kopiert und ist dadurch für jedermann lesbar.

Betroffen

• PPOM – Product Addons & Custom Fields for WooCommerce (WordPress-Plugin, ThemeIsle)
• Alle Versionen bis einschliesslich 34.0.10 (Wordfence: alle Versionen betroffen)

Behoben in

• Behoben in 34.0.11 gemäss WPScan
• Aktuelle Version laut wordpress.org: 34.0.12 (2026-10-22)
• Der Changelog-Text zu 34.0.11 konnte nicht verifiziert werden.

Umgehung

• Dem Hersteller ist kein Workaround bekannt. Das Plugin auf die behobene Version aktualisieren.
• Falls ein Update nicht sofort möglich ist, das Plugin auf öffentlich erreichbaren Shops deaktivieren (Empfehlung aus der Recherche, keine Herstelleraussage).

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial
• Nicht im CISA-KEV-Katalog gelistet
• EPSS 0.00755 (niedrige prognostizierte Wahrscheinlichkeit)
• Kein öffentlicher Proof of Concept gefunden
• Ausnutzung in freier Wildbahn: Unbekannt

Unsere Empfehlung

• PPOM auf allen Websites, auch auf erreichbaren Staging-Kopien, auf 34.0.11 oder neuer (aktuell 34.0.12) aktualisieren und die installierte Version im WordPress-Backend prüfen.
• Das Verzeichnis wp-content/uploads/ppom_files/confirmed/ auf unerwartete Dateien prüfen.
• Web-Server- und Dateisystem-Logs vor dem Update auf ungewöhnliche Anfragen an Checkout- und Upload-Pfade prüfen.
• Bei exponierten betroffenen Versionen auf Anzeichen einer Kompromittierung prüfen. Eine Web Application Firewall nur als temporäre Schutzschicht einsetzen, nicht als Ersatz für das Update.
• Priorität: hoch.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• CVE record summary (threatint) cve.threatint.com
• WPScan plugin page wpscan.com
• WordPress.org plugin page wordpress.org
• Plugin code changeset 3733313 plugins.trac.wordpress.org
• Affected code Handler.php (tag 34.0.10) plugins.trac.wordpress.org
• Shell Bulletin report shellbulletin.com
• OpenCVE CVE page app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:01.