Craft Commerce Mollie-Plugin: Fälschung des Zahlungsstatus über Webhook
Zusammenfassung
Der Mollie-Webhook des Plugins commerce-mollie für Craft Commerce akzeptiert einen Transaktions-Hash und eine Mollie-Zahlungs-ID, ohne zu prüfen, ob diese zusammengehören. Ein nicht authentifizierter Angreifer, der eine bezahlte Mollie-Zahlungs-ID aus dem Konto des Händlers besitzt, kann diese mit einer beliebigen anderen Transaktion kombinieren und diese als erfolgreich für den vollen Betrag markieren lassen, unabhängig von der tatsächlich bezahlten Summe. Das Hauptrisiko besteht darin, dass Waren oder Dienstleistungen für unbezahlte Bestellungen freigegeben werden.
Betroffen
- commerce-mollie Versionen 2.1.1 bis vor 4.4.3 (gemäss CNA-Daten; VulDB nennt bis 4.4.2)
Behoben in
- Upgrade auf commerce-mollie 4.4.3 oder neuer
Umgehung
- Unbekannt. Vom Hersteller ist keine Workaround-Lösung dokumentiert.
- Interimsprüfung: Kürzlich als bezahlt markierte Bestellungen mit den bei Mollie eingegangenen Beträgen vergleichen und Bestellstatus mit dem Mollie-Dashboard abgleichen.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
- Gemäss The Hacker Wire kein öffentlicher Proof of Concept; eine andere Quelle nennt einen unklaren PoC-Wert.
- Nicht im CISA-KEV-Katalog gelistet.
Unsere Empfehlung
- Prüfen, ob eine Craft-Commerce-Shop das Mollie-Gateway einsetzt.
- commerce-mollie prioritär auf 4.4.3 oder neuer aktualisieren.
- Bezahlte Bestellungen mit den Mollie-Zahlungen abgleichen und jede Bestellung prüfen, deren Zahlungsreferenz nicht passt.
- Order- und Zahlungslogs auf Webhook-Aufrufe mit unerwarteten Transaktionsreferenzen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-3qcx-mjf6-48vj github.com
- commerce-mollie release 4.4.3 github.com
- commerce-mollie repository github.com
- HCKRT advisory www.hckrt.com
- OSV entry CVE-2026-115937 osv.dev
- VulDB entry 426046 vuldb.com
- Canadian Centre for Cyber Security AV26-1086 www.cyber.gc.ca
- Tenable CVE-2026-115937 www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.