Security For WooCommerce: Fehlende Autorisierung erlaubt Benutzer-Logout ohne Anmeldung
Zusammenfassung
Das WordPress-Plugin Security For WooCommerce bis und mit Version 1.0.16 prüft nicht, ob der Anfragende zur Beendigung von Benutzer-Login-Sitzungen berechtigt ist. Ein nicht angemeldeter Besucher kann jeden Benutzer abmelden, einschliesslich Administratoren, und diese durch wiederholte Anfragen abgemeldet halten. Die Auswirkung beschränkt sich auf die Verfügbarkeit, kann aber den Shop-Betrieb stören.
Betroffen
- WordPress-Plugin Security For WooCommerce, Versionen 0 bis 1.0.16
- Hersteller: Unbekannt
Behoben in
Unbekannt. Es wurde keine Herstellermitteilung oder Changelog gefunden, die eine korrigierte Version bestätigt. Einzelne Quellen nennen Version 1.0.17, was nicht verifiziert werden konnte.
Umgehung
- Plugin deaktivieren und entfernen, falls es nicht benötigt wird.
- Zugriff auf die Logout-Funktion des Plugins einschränken oder auf ungewöhnliche Logout-Aktivitäten überwachen.
- Rate Limiting am betroffenen Endpunkt kann als Übergangslösung dienen, verhindert die Störung jedoch nicht vollständig.
- Keine vom Hersteller empfohlene Massnahme bekannt.
Ausnutzung
- Der Angriff erfordert keine Authentifizierung und keine Benutzerinteraktion und ist über das Netzwerk erreichbar.
- Nicht in der CISA KEV aufgeführt.
- Kein bestätigter öffentlicher Proof-of-Concept-Exploit.
- Keine bestätigten Hinweise auf Ausnutzung in der Praxis.
- CISA SSVC: automatisierbar ja, technische Auswirkung teilweise.
Unsere Empfehlung
- Prüfen, ob das Plugin auf WordPress-/WooCommerce-Websites installiert ist und welche Version verwendet wird.
- Falls installiert und nicht zwingend nötig, Plugin deaktivieren und entfernen; bis zu einer bestätigten Herstellerkorrektur als ungepatcht behandeln.
- Auf unerwartete Administratorkonten prüfen, da verwandte Schwachstellen im selben Plugin (zum Beispiel CVE-2026-100109) die Erstellung von Konten erlauben können.
- Den NVD-Eintrag und die WPScan-Meldung auf eine bestätigte korrigierte Version überwachen, bevor das Plugin wieder aktiviert wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-123703 www.cve.org
- WPScan advisory wpscan.com
- VulDB CVE-2026-123703 vuldb.com
- OffSeq radar CVE-2026-123703 radar.offseq.com
- OpenCVE CVE-2026-123703 app.opencve.io
- OffSeq radar: sibling capability checks flaw (CVE-2026-100109) radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:02.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.