Security For WooCommerce WordPress-Plugin: Fehlende Autorisierung bei wp-config-Schlüsselreset
Zusammenfassung
Das WordPress-Plugin Security For WooCommerce bis Version 1.0.16 prüft nicht, ob ein Anfragender berechtigt ist, bevor es die geheimen Schlüssel und Salts in der Datei wp-config.php neu generiert. Ein nicht authentifizierter Angreifer kann so erreichen, dass sich alle Benutzer der Website abmelden. Auf Servern, die die WordPress.org-API nicht erreichen können, kann die Konfigurationsdatei beschädigt werden, wodurch die gesamte Website offline geht.
Betroffen
- WordPress-Plugin Security For WooCommerce, alle Versionen bis einschliesslich 1.0.16
- Hersteller und Versionsbereich gemäss CVE-Eintrag; der Entwickler ist unbekannt.
Behoben in
Unbekannt. Es wurde weder eine Herstellerwarnung noch ein Changelog-Eintrag zu einer korrigierten Version gefunden. Eine nicht verifizierte VulDB-Seite nennt Version 1.0.17, was nicht bestätigt ist.
Umgehung
- Keine vom Hersteller bestätigte Massnahme bekannt.
- Plugin deaktivieren und entfernen, falls es nicht zwingend benötigt wird.
- wp-config.php jetzt sichern.
- Zugriff auf den WordPress-Admin-Bereich nach IP-Adresse einschränken, soweit möglich; dies deckt den verwundbaren Endpunkt unter Umständen nicht ab.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Öffentlicher Proof of Concept: nicht bestätigt.
- CISA SSVC: Exploitation none, nicht automatisierbar, partielle technische Auswirkung.
Unsere Empfehlung
- Prüfen, ob auf einer Website das Plugin Security For WooCommerce in Version 1.0.16 oder älter läuft, und dies als dringlich behandeln.
- Plugin entfernen, falls es nicht zwingend benötigt wird; andernfalls die Exposition der Website einschränken und überwachen.
- wp-config.php sichern und nach jeder unerwarteten Abmeldung auf Unversehrtheit prüfen.
- Nach nicht autorisierten Administratorkonten und plötzlichen Sitzungsabbrüchen suchen.
- Changelog im WordPress.org-Verzeichnis und den WPScan-Eintrag auf eine korrigierte Version prüfen und diese nach Bestätigung installieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability entry wpscan.com
- CVE Record CVE-2026-123702 www.cve.org
- OpenCVE CVE-2026-123702 app.opencve.io
- VulDB CVE-2026-123702 vuldb.com
- OffSeq Radar CVE-2026-123702 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.