Security For WooCommerce: Offenlegung von E-Mail-Adressen von Administratoren
Zusammenfassung
Das WordPress-Plugin Security For WooCommerce in Version 1.0.16 und früheren Versionen beschränkt den Zugriff auf eine seiner REST-API-Routen nicht. Ein nicht authentifizierter Angreifer kann dadurch die E-Mail-Adressen aller Administratoren der betroffenen WordPress-Website abrufen. Die offengelegten Adressen können für gezieltes Phishing, Social Engineering oder Credential-Stuffing missbraucht werden, die Schwachstelle ermöglicht jedoch keine direkte weitergehende Kompromittierung.
Betroffen
- WordPress-Plugin Security For WooCommerce, alle Versionen bis einschliesslich 1.0.16
- Betroffene Komponente: eine REST-API-Route ohne Autorisierungsprüfung
Behoben in
Unbekannt. VulDB verweist auf Version 1.0.17 oder neuer, dies ist jedoch weder durch den Hersteller noch durch das WPScan-Advisory bestätigt.
Umgehung
- Die betroffene REST-Route auf dem Webserver, Reverse Proxy oder WAF blockieren oder einschränken (Routenname in den Quellen nicht bestätigt)
- Den Zugriff auf REST-API-Endpunkte einschränken, die nicht öffentlich sein müssen, statt die gesamte REST-API zu deaktivieren
- Das Plugin deaktivieren und löschen, falls es nicht benötigt wird
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog aufgeführt
- Kein öffentlicher Proof-of-Concept-Exploit bestätigt
- CISA SSVC: automatisierbar ja, technische Auswirkung partiell
Unsere Empfehlung
- WooCommerce-Websites mit dem Plugin in Version 1.0.16 oder früher identifizieren
- Vor einem Update das WPScan-Advisory und das Changelog des Plugins auf die bestätigte korrigierte Version prüfen
- Falls kein Fix bestätigt ist, die REST-Route auf dem Proxy oder der WAF einschränken oder das Plugin entfernen
- Zwei-Faktor-Authentifizierung für Administratorkonten erzwingen und E-Mail-Adressen von Administratoren nicht als Benutzernamen verwenden
- Die verwandten Schwachstellen CVE-2026-123702 und CVE-2026-123705 gleichzeitig prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan advisory wpscan.com
- CVE Record CVE-2026-123704 www.cve.org
- VulDB CVE-2026-123704 vuldb.com
- OpenCVE CVE-2026-123704 app.opencve.io
- OffSeq Radar CVE-2026-123704 radar.offseq.com
- OffSeq Radar CVE-2026-123705 (related) radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:02.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.