WooCommerce Designer Pro: Remote Code Execution (RCE) über Subscriber-Konto

Zusammenfassung

WooCommerce Designer Pro bis und mit Version 1.9.33 enthält eine Schwachstelle vom Typ Remote Code Execution (RCE) (CWE-94). Ein Angreifer mit einem Konto der Rolle Subscriber kann ohne Benutzerinteraktion beliebigen Code auf dem Webserver ausführen. Der CVSS-Basiswert beträgt 9.9 (kritisch). Shops mit offener Kundenregistrierung sind am stärksten gefährdet, da Angreifer das benötigte Konto selbst erstellen können.

Betroffen

• WooCommerce Designer Pro (WordPress-Plugin, Paketname wc-designer-pro) bis und mit 1.9.33
• Früheste betroffene Version: unbekannt (n/a)

Behoben in

Unbekannt. Zum Zeitpunkt der Erstellung ist weder vom Hersteller noch von Patchstack eine korrigierte Version bestätigt.

Umgehung

Vom Hersteller stammt keine Workaround-Massnahme. Provisorische Massnahmen (eigene Analyse, nicht aus einer Herstellerquelle):

• Plugin deaktivieren, falls der Shop die individuellen Gestaltungsfunktionen nicht benötigt
• Offene Registrierung deaktivieren oder die manuelle Freigabe neuer Subscriber-Konten verlangen
• Nicht benötigte Konten entfernen und Passwörter verdächtiger Konten zurücksetzen
• PHP-Ausführung in Upload-Verzeichnissen einschränken

Ausnutzung

• Nicht als aktiv ausgenutzt gelistet (CISA KEV: laut einer Sekundärquelle nicht gelistet; KEV-Katalog nicht direkt geprüft)
• Kein öffentlicher Proof of Concept für diese CVE gefunden
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung
• Patchstack erwartet eine Ausnutzung und Massenangriffe, dies ist jedoch eine Prognose und kein beobachteter Angriff
• Das Plugin wies früher nicht authentifizierte Schwachstellen beim Datei-Upload auf (CVE-2025-6440, öffentlicher Exploit vorhanden), deren Techniken Angreifer wiederverwenden können

Unsere Empfehlung

• Plugin deaktivieren, falls es nicht zwingend benötigt wird; andernfalls hohe Priorität einplanen
• Offene Kundenregistrierung deaktivieren oder Subscriber-Konten einschränken, bis eine Korrektur bestätigt ist
• Patchstack-Eintrag, Changelog auf wordpress.org und die Herstellerseite auf eine korrigierte Version prüfen und sofort aktualisieren, sobald eine verfügbar und getestet ist
• Upload-Verzeichnisse und Plugin-Ordner auf unerwartete PHP-Dateien prüfen und Webserver-Logs auf ungewöhnliche admin-ajax-Anfragen durchsehen
• NVD-Analyse und CISA KEV auf Änderungen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack vulnerability entry CVE-2026-32568 patchstack.com
• CVE record (CVE Program, JSON) raw.githubusercontent.com
• HOL Guard CVE-2026-32568 hol.org
• Strix CVE-2026-32568 www.strix.ai
• OpenCVE CVE-2026-57329 (related plugin CVE) app.opencve.io
• KENET CERT advisory CVE-2025-6440 (earlier plugin CVE) cert.kenet.or.ke

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:41.