Security For WooCommerce WordPress-Plugin: Offenlegung von Login-Token ohne Authentifizierung

Zusammenfassung

Das WordPress-Plugin Security For WooCommerce bis Version 1.0.16 beschränkt den Zugriff auf mehrere seiner REST-API-Routen nicht. Ein nicht authentifizierter Angreifer kann Login-Token für alle Benutzer erzeugen, einschliesslich Administratoren, und diese abrufen, um sich als einer dieser Benutzer anzumelden. Der mitgelieferte CVSS-Wert von 9.8 ist noch nicht gegen NVD verifiziert, und VulDB nennt 7.3.

Betroffen

• WordPress-Plugin Security For WooCommerce, Versionen 0 bis 1.0.16
• Hersteller: Unbekannt

Behoben in

• VulDB empfiehlt ein Update auf Version 1.0.17 oder neuer; nicht durch den Hersteller, WordPress.org oder den WPScan-Hinweis bestätigt.

Umgehung

• Plugin deaktivieren, bis eine verifizierte korrigierte Version installiert ist.
• Zugriff auf die REST-API-Routen des Plugins auf der Web Application Firewall oder dem Reverse Proxy einschränken. Die betroffenen Routen sind nicht bestätigt.
• Administratorzugriff per IP-Allowlist einschränken, wie von VulDB vorgeschlagen (nicht verifiziert).

Ausnutzung

• Nicht bekanntermassen ausgenutzt; nicht im CISA KEV gelistet.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• VulDB stuft die Ausnutzung als einfach, remote und ohne Authentifizierung ein.
• Kein öffentlicher Proof of Concept bestätigt.

Unsere Empfehlung

• Alle WordPress-Seiten mit dem Plugin identifizieren und das Plugin deaktivieren oder einschränken.
• Auf unerwartete Administratorkonten und letzte Anmeldungen prüfen, Administratorpasswörter zurücksetzen und Sitzungen ungültig machen, da Token bereits ausgestellt worden sein könnten.
• Zusätzlich auf nicht autorisierte Administratoren prüfen, die mit anderen nicht authentifizierten Schwachstellen in den Plugin-Versionen 1.0.10 bis 1.0.16 zusammenhängen.
• Erst aktualisieren, wenn eine vom Hersteller bestätigte korrigierte Version verifiziert ist.
• Den WPScan-Hinweis und NVD auf Aktualisierungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• WPScan advisory wpscan.com
• CVE Record www.cve.org
• VulDB CVE-2026-123695 vuldb.com
• VulDB vulnerability 435643 vuldb.com
• OpenCVE CVE-2026-123695 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:20.