Advanced Product Fields for WooCommerce: Umgehung von Aufpreisen für Optionen
Zusammenfassung
Das WordPress-Plugin Advanced Product Fields (Product Addons) for WooCommerce in den Versionen 1.6.22 bis 1.7.3 prüft nicht, ob ein übermittelter Wert für eine verpflichtende kostenpflichtige Produktoption einer der konfigurierten Auswahlmöglichkeiten entspricht. Ein nicht angemeldeter Angreifer kann ein Produkt mit ungültigem Optionswert in den Warenkorb legen und die Bestellung abschliessen, ohne den Aufpreis zu bezahlen, und zahlt so nur den Grundpreis des Produkts. Die Lücke ist über den öffentlichen Warenkorb- und Checkout-Ablauf erreichbar und betrifft Shops, die Produkte mit verpflichtenden kostenpflichtigen Optionen verkaufen.
Betroffen
- Advanced Product Fields (Product Addons) for WooCommerce 1.6.22 bis 1.7.3
- Status laut CVE-Eintrag: betroffen ab 1.6.22 vor 1.7.4
- Versionen 1.6.21 und älter sind von dieser CVE nicht erfasst; siehe CVE-2026-2996
Behoben in
- Version 1.7.4 (Changelog des Herstellers: strengere Validierung von Produktoptionen beim Hinzufügen in den Warenkorb)
Umgehung
- Unbekannt. Kein Workaround des Herstellers gefunden.
- Übergangsmassnahme (nicht aus einer Quelle): die betroffene verpflichtende kostenpflichtige Option oder das Produkt bis zur Installation des Updates vorübergehend deaktivieren.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
- Laut Aggregatoren ist keine Ausnutzung bekannt; es wurde kein öffentlicher Proof of Concept gefunden.
- VulDB stuft den Eintrag als 0-Day mit einfacher Ausnutzung ein; dies ist die Einschätzung von VulDB selbst und kein Beleg für Angriffe.
Unsere Empfehlung
- Auf allen WooCommerce-Shops mit diesem Plugin auf Version 1.7.4 oder neuer aktualisieren.
- Ältere Installationen (1.6.21 und älter) auf CVE-2026-2996 prüfen und aktualisieren.
- Neue Bestellungen für Produkte mit verpflichtenden kostenpflichtigen Optionen kontrollieren, die nur zum Grundpreis bezahlt wurden.
- Das Plugin auf weitere Sicherheitsmitteilungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- CVE Record CVE-2026-119171 www.cve.org
- WordPress.org plugin listing (changelog) wordpress.org
- VulDB CVE-2026-119171 vuldb.com
- Strix CVE-2026-2996 www.strix.ai
- Strix CVE-2026-119171 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:57.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.