Security For WooCommerce: Fehlende Berechtigungsprüfung legt Zwei-Faktor-Codes offen
Zusammenfassung
Das WordPress-Plugin Security For WooCommerce bis Version 1.0.16 prüft nicht, wer den aktuellen Zwei-Faktor-Code oder das Zwei-Faktor-Geheimnis eines Benutzers abrufen darf. Ein nicht authentifizierter Angreifer kann diese für beliebige Konten abrufen und den zweiten Faktor umgehen, sofern die Einmalpasswort-Bibliothek des Plugins auf der Website verfügbar ist. Das Risiko ist auf öffentlich erreichbaren WordPress-Login-Seiten am höchsten, und der Angreifer profitiert davon, gültige Benutzernamen zu kennen.
Betroffen
- WordPress-Plugin Security For WooCommerce, Versionen 0 bis 1.0.16 (einschliesslich)
- Die Ausnutzbarkeit hängt davon ab, ob die Einmalpasswort-Bibliothek des Plugins auf der Website verfügbar ist
Behoben in
Unbekannt. Es wurde weder eine Herstellerwarnung noch eine korrigierte Version bestätigt.
Umgehung
- Unbekannt. Es existiert keine vom Hersteller bestätigte Massnahme.
- Plugin deaktivieren, falls die Zwei-Faktor-Authentifizierung darüber nicht zwingend erforderlich ist.
- Zwei-Faktor-Authentifizierung über ein separates, gut gepflegtes Plugin oder auf Server- bzw. SSO-Ebene einrichten.
Ausnutzung
- Nicht als ausgenutzt bekannt (im CISA-KEV-Katalog zum Recherchezeitpunkt nicht aufgeführt).
- Kein öffentlicher Proof of Concept bestätigt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Inventar der WordPress-Websites erstellen, auf denen dieses Plugin läuft.
- Plugin oder dessen Zwei-Faktor-Funktionen deaktivieren, falls sie nicht zwingend nötig sind, bis eine korrigierte Version bestätigt ist.
- Logs auf unerwartete Anfragen an Endpunkte des Plugins prüfen.
- Eintrag bei WPScan und die Seite des Plugins auf wordpress.org auf Updates prüfen sowie NVD und CISA KEV überwachen.
- Die CVSS-Angaben in NVD können korrigiert werden; die Schwachstelle bis zur Klärung als nicht authentifiziert behandeln.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan advisory wpscan.com
- CVE Record CVE-2026-123697 www.cve.org
- VulDB CVE-2026-123697 vuldb.com
- OpenCVE CVE-2026-123697 app.opencve.io
- TheHackerWire CVE-2026-123697 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:31.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.