Security For WooCommerce: Fehlende Berechtigungsprüfung erzwingt Updates
Zusammenfassung
Das WordPress-Plugin Security For WooCommerce bis und mit Version 1.0.16 prüft vor der Ausführung von Massen-Updates nicht, ob der Aufrufer berechtigt ist. Ein nicht authentifizierter Angreifer kann erzwingen, dass alle ausstehenden Plugin-, Theme- und WordPress-Core-Updates auf der betroffenen Website installiert werden. Das Hauptrisiko sind unerwartete Änderungen, die den Shop stören oder zu Ausfällen führen können.
Betroffen
- WordPress-Plugin Security For WooCommerce, Versionen 0 bis 1.0.16 (inklusive)
Behoben in
Unbekannt. In den geprüften Quellen ist keine korrigierte Version veröffentlicht.
Umgehung
- Zugriff auf Update-Funktionen nach Möglichkeit einschränken, bis ein Fix verfügbar ist.
- Vor jedem Update-Fenster ein Backup der Website erstellen.
- Update-Protokolle auf unerwartete Plugin- oder Core-Änderungen prüfen.
- Falls das Plugin nicht geschäftskritisch ist, es bis zu einer korrigierten Version deaktivieren oder entfernen.
Ausnutzung
- Ausnutzung in freier Wildbahn ist nicht bekannt.
- Nicht im CISA-KEV-Katalog aufgeführt.
- In den geprüften Quellen wurde kein öffentlicher Exploit gefunden.
Unsere Empfehlung
- Prüfen, ob WooCommerce-Websites dieses Plugin in Version 1.0.16 oder älter einsetzen.
- Falls ja, eine Deaktivierung des Plugins erwägen, bis eine korrigierte Version bestätigt ist.
- Protokolle auf unerwartete Update-Aktivitäten, Administrator-Anmeldungen und 2FA-Änderungen überwachen.
- WPScan- und NVD-Einträge regelmässig erneut prüfen, da die Daten noch aktualisiert werden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan advisory wpscan.com
- OpenCVE CVE-2026-123699 app.opencve.io
- Researcher disclosure post (dev.to) dev.to
- OffSeq Radar threat entry CVE-2026-123699 radar.offseq.com
- Strix CVE-2026-123699 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:45.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.