Skydropx WordPress Plugin: Fehlende Autorisierung führt zu Broken Access Control

Zusammenfassung

Das Skydropx-Plugin für WordPress und WooCommerce enthält bis und mit Version 2.1.4 eine Schwachstelle in der Zugriffskontrolle (CWE-862). Gemäss CVE-Eintrag kann ein nicht authentifizierter Angreifer aus dem Netzwerk auf Funktionen zugreifen, die ihm nicht zustehen, was zu einer Offenlegung von Daten mit hoher Vertraulichkeitsauswirkung führen kann. Patchstack stuft die Lücke als hohe Priorität ein und meldet zum Zeitpunkt der Erfassung keine bekannte Ausnutzung.

Betroffen

• Skydropx-WordPress-Plugin (Paket skydropx) bis und mit 2.1.4
• Versionen nach 2.1.4 sind gemäss CVE-Eintrag nicht betroffen

Behoben in

• Version 2.1.5 (gemäss Patchstack und CVE-Eintrag; noch nicht im Changelog des Plugins bestätigt)

Umgehung

• Plugin deaktivieren, bis Version 2.1.5 oder neuer installiert ist, falls ein Update nicht möglich ist
• Nach dem Update oder der Deaktivierung WooCommerce-REST-API-Schlüssel und Webhooks auf unbekannte Einträge prüfen

Ausnutzung

• Zum Zeitpunkt der Erfassung keine bekannte Ausnutzung (CISA KEV: nicht gelistet; VulDB: kein Exploit verfügbar)
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell
• Patchstack erwartet, dass die Schwachstelle in Massenkampagnen ausgenutzt wird

Unsere Empfehlung

• Alle WordPress-Seiten auf das Skydropx-Plugin und dessen Version prüfen
• Auf Version 2.1.5 oder neuer aktualisieren; Plugin deaktivieren, wo kein Update möglich ist
• WooCommerce-API-Schlüssel und Webhooks auf betroffenen Seiten prüfen
• Patchstack-Advisory und NVD auf die bestätigte Korrektur sowie die endgültigen CWE- und CVSS-Werte überwachen
• Prüfen, ob ein Schweizer Kunde das Plugin einsetzt, da es für einen LATAM-Versanddienst gedacht ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• CVE JSON record (CVE Program) raw.githubusercontent.com
• VulDB entry vuldb.com
• OpenCVE entry app.opencve.io
• WordPress.org plugin page (Skydropx) wordpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:16.