Security For WooCommerce: Unauthentifizierte Massenlöschung von Kommentaren (fehlende Autorisierung)
Zusammenfassung
Das WordPress-Plugin Security For WooCommerce bis und mit Version 1.0.16 prüft vor mehreren Aktionen zur Bereinigung von Kommentaren nicht, ob der Aufrufer berechtigt ist. Ein nicht authentifizierter Angreifer aus dem Netz kann dadurch alle Kommentare der Website dauerhaft löschen, einschliesslich freigegebener Kommentare und WooCommerce-Bestellnotizen. Es ist kein Konto und keine Benutzerinteraktion nötig. Der Hauptschaden ist Datenverlust; der NVD-Score ist noch ausstehend.
Betroffen
- WordPress-Plugin Security For WooCommerce, Versionen 0 bis 1.0.16
- Hersteller und Entwickler in den Quellen nicht bestätigt; der Plugin-Name wird auch als "ultimate security for woocommerce" angegeben
Behoben in
Unbekannt.
Umgehung
- Die Funktionen zur Bereinigung von Kommentaren nach Möglichkeit einschränken oder deaktivieren; dies ist schwierig, da die Aktionen nicht authentifiziert sind.
- Das Plugin deaktivieren und entfernen, falls es nicht unverzichtbar ist.
- Ein aktuelles Datenbank-Backup aufbewahren, da gelöschte Kommentare und Bestellnotizen auf der Website nicht wiederhergestellt werden können.
Ausnutzung
- CISA KEV: nicht gelistet.
- Threat Radar: nicht als ausgenutzt bekannt (schwaches, automatisiertes Signal).
- Kein öffentlicher Proof of Concept bestätigt; die WPScan-Referenz ist als Exploit gekennzeichnet und wurde nicht verifiziert.
- In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gemeldet.
- CISA SSVC: automatisierbar ja, technische Auswirkung partiell.
Unsere Empfehlung
- Prüfen, ob das Plugin auf einer WooCommerce- oder WordPress-Website installiert ist; es als hohes Risiko behandeln.
- Das Plugin deaktivieren und entfernen, sofern es nicht unverzichtbar ist.
- Die Website vor Änderungen sichern.
- Kommentar- und Bestellnotiz-Verlauf nach einem vermuteten Vorfall prüfen.
- Die WordPress.org-Seite des Plugins und die WPScan-Meldung auf eine korrigierte Version überwachen.
- CVE-2026-100109 (nicht authentifizierte Benutzererstellung, als kritisch gemeldet) auf demselben Plugin priorisieren, da sie eine vollständige Übernahme der Website ermöglichen kann.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan advisory wpscan.com
- CVE Record CVE-2026-123700 www.cve.org
- OpenCVE CVE-2026-123700 app.opencve.io
- Threat Radar: CVE-2026-123700 radar.offseq.com
- Threat Radar: CWE-862 Security For WooCommerce radar.offseq.com
- Threat Radar: capability checks, 1.0.10 to 1.0.16 radar.offseq.com
- Strix AI: CVE-2026-123700 www.strix.ai
- Developer post by the finder dev.to
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:28.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.