Security For WooCommerce WordPress-Plugin: Fehlende Autorisierung beim 2FA-Reset

Zusammenfassung

Das WordPress-Plugin Security For WooCommerce bis und mit Version 1.0.16 prüft vor dem Zurücksetzen der Zwei-Faktor-Authentifizierung (2FA) nicht, ob der Anfragende berechtigt ist. Ein nicht angemeldeter Angreifer aus dem Internet kann den zweiten Faktor von beliebigen Konten entfernen oder gleichzeitig von allen Konten. Der Angriff benötigt keine Anmeldung, doch das Zurücksetzen der 2FA allein verschafft keinen Zugang, da der Angreifer weiterhin das Passwort oder eine andere Schwachstelle benötigt.

Betroffen

• Security For WooCommerce WordPress-Plugin, alle Versionen bis und mit 1.0.16
• Gemeldet als Plugin "ultimate-security-for-woocommerce" (nicht durch eine primäre Quelle bestätigt)

Behoben in

Unbekannt.

Umgehung

• Plugin deaktivieren, falls es nicht zwingend benötigt wird.
• Zugriff auf die Endpunkte des Plugins auf dem Webserver oder per WAF einschränken (vom Hersteller ist keine Massnahme veröffentlicht).
• Administratorkonten auf unerwartete 2FA-Zurücksetzungen prüfen.

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt.
• OffSeq meldet keine bekannte Ausnutzung.
• Öffentlicher Proof-of-Concept-Code: unbekannt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Prüfen, ob das Plugin installiert ist, auch auf Staging-Systemen.
• Plugin deaktivieren, falls es nicht benötigt wird.
• Den WPScan-Hinweis und den Hersteller auf einen Patch überwachen.
• Administratorkonten und Anmeldungen auf Anzeichen einer Kompromittierung prüfen.
• Davon ausgehen, dass auch die verwandten CVE-2026-123695, CVE-2026-123697 und CVE-2026-123701 im selben Plugin zutreffen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• WPScan advisory wpscan.com
• CVE Record CVE-2026-123696 www.cve.org
• OpenCVE CVE-2026-123696 app.opencve.io
• VulDB CVE-2026-123696 vuldb.com
• Researcher blog post (dev.to) dev.to
• OffSeq CVE-2026-123696 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:31.