CodeRockz Delivery & Pickup Date Time for WooCommerce: Gespeichertes Cross-Site-Scripting

Zusammenfassung

Das WordPress-Plugin Delivery & Pickup Date Time for WooCommerce (woo-delivery) bis Version 1.3.90 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (CWE-79). Ein Angreifer mit niedrigen Berechtigungen, etwa einem Subscriber-Konto, kann schädliche Skripte speichern, die im Browser anderer Benutzer ausgeführt werden, beispielsweise von Shop-Mitarbeitenden oder Kunden, wenn diese die betroffene Seite aufrufen. Für die Ausnutzung muss ein privilegierter Benutzer eine Aktion ausführen, etwa einen Link anklicken oder ein Formular absenden.

Betroffen

• CodeRockz Delivery & Pickup Date Time for WooCommerce (woo-delivery) von n/a bis 1.3.90
• Niedrigste betroffene Version: Unbekannt.
• PRO-Version: Unbekannt.

Behoben in

• Als behoben gemeldet in 1.3.91 (unverifiziert, nicht durch Patchstack oder den Hersteller bestätigt; das WordPress.org-Verzeichnis zeigte zum Zeitpunkt der Recherche 1.3.90 als aktuelle Version).

Umgehung

• Kein vom Hersteller veröffentlichter Workaround.
• Bis eine behobene Version bestätigt ist, Konten einschränken, die Daten schreiben können, die auf Checkout- und Bestellseiten angezeigt werden.
• Kürzliche Änderungen an Liefer- und Abholfeldern sowie Bestellnotizen auf skriptähnliche Inhalte prüfen.
• Falls verfügbar, eine Regel einer Web Application Firewall einsetzen, andernfalls das Plugin deaktivieren, sofern der Betrieb ohne es möglich ist.
• Prüfen, ob eine Content Security Policy eingesetzt wird, um die Auswirkungen eingeschleuster Skripte zu begrenzen.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; zum Zeitpunkt der Recherche nicht in der KEV-Liste.
• Kein öffentlicher Proof of Concept bestätigt; VulDB gibt an, dass kein Exploit öffentlich verfügbar ist. Unbestätigt, in einigen Tagen erneut prüfen.
• Patchstack stuft die Priorität als mittel ein und erwartet eine Ausnutzung.

Unsere Empfehlung

• Das Plugin auf die behobene Version aktualisieren, sobald Patchstack oder CodeRockz diese bestätigt (1.3.91 ist gemeldet, aber unverifiziert).
• Shop-Konten mit Schreibrechten prüfen und Liefer- und Abholfelder sowie Bestellnotizen auf eingeschleusten Skriptinhalt kontrollieren.
• Prüfen, ob das Plugin auf öffentlichen Shop-Systemen installiert ist und ob PRO-Versionen eingesetzt werden.
• Auf neu veröffentlichte Exploit-Details achten und den KEV-Status in den kommenden Tagen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack vulnerability record patchstack.com
• VulDB CVE-2026-124256 vuldb.com
• Strix CVE-2026-124256 (NVD-derived data) www.strix.ai
• CVE Threat Intelligence record cve.threatint.com
• OffSeq threat radar (machine-generated) radar.offseq.com
• WordPress.org plugin listing woo-delivery wordpress.org
• CodeRockz vendor website coderockz.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:51.