Extra Fees for WooCommerce: PHP Object Injection
Zusammenfassung
Das WordPress-Plugin Extra Fees for WooCommerce bis und mit Version 4.4.0 enthält eine PHP Object Injection-Schwachstelle (CWE-502). Ein authentifizierter Benutzer mit der Rolle Contributor kann manipulierte serialisierte Daten übermitteln, die das Plugin deserialisiert, was die Verarbeitungslogik beeinflussen kann. Je nach Klassen in anderen installierten Plugins und Themes kann eine erfolgreiche Ausnutzung zur Ausführung von Code oder zur Kompromittierung von Daten auf dem Server führen.
Betroffen
- Extra Fees for WooCommerce (Slug woo-conditional-product-fees-for-checkout), Versionen <= 4.4.0
- Erforderliche Berechtigung: Contributor
Behoben in
Unbekannt. Patchstack meldet, dass kein offizieller Patch verfügbar ist. Zum Zeitpunkt der Recherche wurde keine neuere Version als 4.4.0 gefunden.
Umgehung
- Rolle Contributor und höher auf vertrauenswürdige Benutzer beschränken und bestehende Konten prüfen.
- Offene Benutzerregistrierung deaktivieren, falls damit die Rolle Contributor zugewiesen werden kann.
- Plugin deaktivieren, falls die bedingten Gebühren nicht zwingend nötig sind, oder bis zu einer korrigierten Version auf einen manuellen Prozess wechseln.
- Beim verwalteten WordPress-Sicherheitsdienst nachfragen, ob ein Virtual Patch diese CVE abdeckt.
Ausnutzung
- Patchstack stuft die Schwachstelle als Priorität mittel ein und erwartet eine Ausnutzung, beschreibt jedoch keine beobachteten Angriffe.
- OffSeq führt sie als nicht bekanntermassen ausgenutzt; ein GitHub-Tracker verzeichnet sie nicht im CISA KEV.
- EPSS: 0.29 %.
- CISA SSVC: Ausnutzung none, automatisierbar nein, technische Auswirkung total.
- Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden (dies beweist nicht, dass keiner existiert).
Unsere Empfehlung
- Prüfen, ob das Plugin installiert ist und welche Version läuft.
- Beim Hersteller und auf WordPress.org nach einer Version neuer als 4.4.0 suchen und sobald verfügbar aktualisieren.
- Contributor-Konten jetzt einschränken und prüfen, besonders bei Shops mit mehreren Autoren oder offener Registrierung.
- Die oben genannten Massnahmen anwenden, bis ein Fix installiert ist, und Logs auf ungewöhnliche serialisierte Eingaben oder Anfragen an das Plugin überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Strix CVE page www.strix.ai
- OffSeq threat radar radar.offseq.com
- GitHub vulnerability tracker github.com
- WordPress.org plugin listing wordpress.org
- Dotstore Extra Fees plugin page www.thedotstore.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:08.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.