Back In Stock Notifier for WooCommerce: Cross-Site-Scripting (Content Injection)
Zusammenfassung
Das WordPress-Plugin Back In Stock Notifier for WooCommerce bis und mit Version 7.5.2 enthält eine Schwachstelle, die als CWE-80 (einfaches XSS) klassifiziert ist und vom CNA als Content Injection beschrieben wird. Gemäss CVSS-Vektor könnte ein nicht authentifizierter Angreifer über das Netzwerk ohne Benutzerinteraktion skriptbezogenen HTML-Code in Seiten einschleusen, mit geringer Auswirkung auf die Vertraulichkeit. Technische Details, der betroffene Parameter und der genaue Auslöser sind noch nicht öffentlich dokumentiert, und die eigene Herstellerwarnung wurde nicht gefunden.
Betroffen
- Back In Stock Notifier for WooCommerce (WordPress-Plugin, ProPluginsLab) bis und mit Version 7.5.2
- Untere Grenze der betroffenen Versionen unklar (im NVD-ähnlichen Beschrieb als n/a angegeben)
Behoben in
- Version 7.5.3 gemäss CNA-Eintrag (Patchstack); noch nicht durch das Herstellerchangelog oder WordPress.org bestätigt
Umgehung
Unbekannt.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise
- Kein öffentlicher Proof of Concept gefunden; laut einem Aggregator nicht im KEV-Katalog
- NVD-Status: Deferred
Unsere Empfehlung
- Installierte Plugin-Version im WordPress-Administrationsbereich prüfen
- Bei Version 7.5.2 oder tiefer auf 7.5.3 oder neuer aktualisieren und die Version auf WordPress.org bestätigen
- WordPress, WooCommerce und alle Plugins aktuell halten
- Shop auf unerwartete Inhalte oder Skripte überwachen und den Patchstack-Eintrag prüfen, sobald er aktualisiert ist
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack vulnerability entry patchstack.com
- CVE Record CVE-2026-125746 www.cve.org
- WordPress.org plugin page (en-GB) en-gb.wordpress.org
- Strix CVE summary www.strix.ai
- ProPluginsLab propluginslab.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:40.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.