Bot for Telegram on WooCommerce: Authentifizierungsumgehung führt zur Kontoübernahme

Zusammenfassung

Das WordPress-Plugin Bot for Telegram on WooCommerce bis einschliesslich Version 1.3.0 enthält einen nicht authentifizierten REST-Endpunkt, der Telegram-Webhook-Signaturen nicht prüft. Ein nicht authentifizierter Angreifer kann damit ein Login-Token erlangen und für jedes WordPress-Konto, einschliesslich Administratoren, ein dauerhaftes Session-Cookie erhalten, sofern der Benutzername bekannt ist. Der Angriff erfordert keine Benutzerinteraktion und ist über das Netzwerk erreichbar. CISA SSVC bewertet die Ausnutzung als automatisierbar (automatable: yes) mit totaler technischer Auswirkung (technical impact: total).

Betroffen

• Bot for Telegram on WooCommerce (WordPress-Plugin) alle Versionen bis einschliesslich 1.3.0

Behoben in

• Unbekannt. Es wurde keine korrigierte Version und keine Herstellerwarnung gefunden.

Umgehung

• Plugin entfernen oder deaktivieren. Andere vollständige Gegenmassnahmen sind nicht bekannt.
• Eine Web Application Firewall kann nicht authentifizierte POST-Anfragen an REST-Pfade mit woo-telegram blockieren; dies ist eine Übergangslösung und die Wirksamkeit ist nicht verifiziert.

Ausnutzung

• Laut OffSeq (Stand 29. Oktober 2026) nicht als aktiv ausgenutzt bekannt.
• Zum Zeitpunkt der Prüfung wurde kein öffentlicher Exploit-Code oder Nuclei-Template gefunden.
• Laut einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog; der CISA-Katalog wurde nicht direkt geprüft.
• EPSS 0.58 % wie angegeben; nicht unabhängig verifiziert.

Unsere Empfehlung

• Plugin auf allen WordPress-Websites sofort entfernen oder deaktivieren.
• Auf unerwartete Administrator-Konten, aktuelle Anmeldungen und aktive Sessions prüfen und Administrator-Passwörter zurücksetzen.
• Nach der Entfernung alle aktiven Sessions ungültig machen.
• Webserver-Logs auf nicht authentifizierte POST-Anfragen an /wp-json/woo-telegram/v1/main/ überwachen.
• Auf WordPress.org nach einer Korrektur suchen; das Plugin wird als geschlossen gemeldet.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• VulDB CVE-2026-109516 vuldb.com
• WPScan plugin page wpscan.com
• OffSeq radar threat entry radar.offseq.com
• Plugin source BFTOW_User.php (tag 1.3.0) plugins.trac.wordpress.org
• Plugin source BFTOW_Telegram.php (tag 1.3.0) plugins.trac.wordpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:11.