NivoCart: Fehlende Autorisierung beim Bestell-Download legt Gastrechnungen offen

Zusammenfassung

NivoCart bis Version 2.5.1 weist eine fehlende Autorisierungsprüfung in der Aktion download() von account/order auf. Ein nicht authentifizierter Angreifer aus dem Internet kann Gastbestellrechnungen abrufen, indem er den Parameter order_id durchprobiert. Offengelegt werden Namen, Adressen, Telefonnummern, E-Mail-Adressen, gekaufte Artikel und Totalbeträge von Gastbestellungen.

Betroffen

• NivoCart bis 2.5.1 (gemäss NVD und CVE-Eintrag; der betroffene Bereich wird bis zur Klärung durch den Hersteller als 2.5.1 und älter behandelt)
• Nur Gastbestellungen (customer_id 0) werden als betroffen beschrieben

Behoben in

Unbekannt.

• Es wurde keine Herstellerangabe oder bestätigte korrigierte Version gefunden.
• Version v2.5.3 (veröffentlicht am 29. Oktober 2026) erwähnt diese Schwachstelle in den Änderungen nicht; ob sie behoben ist, ist nicht verifiziert.

Umgehung

• Den Zugriff auf die Bestell-Download-Route auf dem Webserver oder am WAF einschränken, sodass nicht authentifizierte Anfragen blockiert werden, und prüfen, dass normale Kundenprozesse weiterhin funktionieren.
• Prüfen, ob die Download-Route aus dem Internet erreichbar ist.
• Keine vom Hersteller veröffentlichte Massnahme gefunden.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn gefunden; die CVE ist nicht in KEV gelistet.
• Öffentlicher Proof of Concept gemeldet; CISA SSVC führt die Ausnutzung als poc und die Automatisierbarkeit als yes.

Unsere Empfehlung

• Prüfen, ob NivoCart installiert ist und welche Version läuft.
• Die Download-Route bis zur Bestätigung einer Korrektur durch den Hersteller einschränken oder blockieren.
• Webserver-Zugriffsprotokolle auf viele aufeinanderfolgende order_id-Anfragen an diese Route prüfen.
• Beurteilen, ob Kundendaten von Gastbestellungen offengelegt wurden und ob eine Datenschutz-Verletzungsbeurteilung (revDSG) nötig ist.
• Das Herstellerupdate einspielen, sobald eine Korrektur veröffentlicht und bestätigt ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• NVD / CVE record via VulnCheck advisory www.vulncheck.com
• NivoCart GitHub issue 26 github.com
• NivoCart order controller (vulnerable code) github.com
• NivoCart GitHub repository github.com
• NivoCart release v2.5.3 github.com
• OpenCVE CVE-2026-111277 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:25.