Security For WooCommerce WordPress-Plugin: Unauthentifizierte Informationspreisgabe über REST API
Zusammenfassung
Das WordPress-Plugin Security For WooCommerce bis einschliesslich Version 1.0.16 schränkt den Zugriff auf eine seiner REST-API-Routen nicht ein. Ein unauthentifizierter Angreifer kann einen Bericht mit Server-, PHP- und WordPress-Konfiguration, installierten Plugin-Versionen und der E-Mail-Adresse des Site-Administrators abrufen. Die Offenlegung allein verschafft keinen Zugriff auf die Site, erleichtert aber gezielte Angriffe, etwa Phishing gegen den Administrator.
Betroffen
- WordPress-Plugin Security For WooCommerce, alle Versionen bis einschliesslich 1.0.16
- Hersteller: Unbekannt
- Der Plugin-Name im Beitrag des Forschers lautet abweichend "Ultimate Security for WooCommerce"; dies ist anhand des wordpress.org-Eintrags zu verifizieren
Behoben in
Unbekannt. Es wurde weder eine Herstellerwarnung noch eine korrigierte Version gefunden.
Umgehung
- Plugin deaktivieren, falls es nicht zwingend benötigt wird.
- Zugriff auf die betroffene REST-Route mit eigenen Zugriffskontrollen einschränken, bis eine Korrektur verfügbar ist (allgemeine Empfehlung, keine Herstelleraussage).
- Die WPScan-Warnung auf die konkrete Route prüfen, bevor eine Zugriffsregel erstellt wird.
Ausnutzung
- CISA KEV: nicht gelistet.
- OffSeq: nicht als ausgenutzt bekannt.
- Kein öffentlicher Exploit und kein Proof of Concept gefunden.
- Die Ausnutzung ist einfach, da die Route keine Authentifizierung erfordert.
Unsere Empfehlung
- Alle Sites mit diesem Plugin in Version 1.0.16 oder älter identifizieren.
- Plugin dort deaktivieren, wo es nicht zwingend benötigt wird.
- Dieselbe Installation auf die verwandten CVEs CVE-2026-123695 und CVE-2026-123698 prüfen, die gravierender sind.
- Server- oder WAF-Logs auf Anfragen an den REST-Namespace des Plugins prüfen und bei vermuteter Offenlegung gespeicherte Geheimnisse des Plugins rotieren.
- WPScan-Warnung und wordpress.org-Eintrag regelmässig auf eine korrigierte Version prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-123705 www.cve.org
- WPScan advisory wpscan.com
- OpenCVE CVE-2026-123705 app.opencve.io
- OffSeq Radar threat entry radar.offseq.com
- VulDB CVE-2026-123695 (related) vuldb.com
- VulDB CVE-2026-123698 (related) vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:02.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.