Smoove Abandoned Cart Trigger for WooCommerce: Nicht authentifiziertes Stored XSS im Admin-Dashboard
Zusammenfassung
Das WordPress-Plugin Smoove Abandoned Cart Trigger for WooCommerce bereinigt und maskiert von Besuchern übermittelte Daten zu Warenkörben nicht, bevor sie im Admin-Dashboard angezeigt werden. Ein nicht authentifizierter Angreifer kann so schädlichen Skriptcode speichern, der im Browser eines Administrators ausgeführt wird, sobald dieser die Daten zu den verlassenen Warenkörben aufruft. Ein erfolgreicher Angriff könnte zur Übernahme einer Sitzung oder zur vollständigen Übernahme der WordPress-Website führen, sofern ein Administrator die betroffene Seite öffnet.
Betroffen
- Smoove Abandoned Cart Trigger for WooCommerce 4.0.0 bis einschliesslich 4.3.5 (gemäss CNA-Daten und WPScan; nicht gegen das Changelog des Herstellers geprüft)
- Versionen vor 4.0.0: Unbekannt
Behoben in
- Version 4.3.6 (gemäss Aggregatoren-Quellen; Changelog des Herstellers nicht bestätigt)
Umgehung
- Falls kein Update möglich ist, das Plugin deaktivieren, sofern die Funktion für verlassene Warenkörbe nicht benötigt wird.
- Eine Drittquelle schlägt eine WAF-Regel gegen XSS-Payloads in POST-Anfragen an Endpunkte für verlassene Warenkörbe vor; dies ist allgemeine Empfehlung und vom Hersteller nicht bestätigt.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof-of-Concept-Exploit in Metasploit oder Exploit-DB gefunden.
- Widersprüchliche Angaben, ob ein öffentliches Nuclei-Erkennungstemplate existiert; ungeklärt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Prüfen, ob das Plugin auf jeder WooCommerce-WordPress-Website installiert ist und welche Version aktiv ist.
- So rasch wie möglich auf Version 4.3.6 oder neuer aktualisieren.
- Bis zur Aktualisierung den Admin-Zugriff einschränken und nach Möglichkeit das Anzeigen der Daten zu verlassenen Warenkörben vermeiden.
- Nach der Aktualisierung gespeicherte Datensätze zu verlassenen Warenkörben auf Skriptinhalte prüfen.
- Auf die Veröffentlichung öffentlicher Exploits achten und den NVD-Score in den kommenden Tagen erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan advisory wpscan.com
- VulDB CVE-2026-123134 vuldb.com
- OpenCVE CVE-2026-123134 app.opencve.io
- WordPress.org plugin page wordpress.org
- OffSeq radar entry radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:25.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.