ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes: SQL-Injection
Zusammenfassung
Das WordPress-Plugin ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes bis einschliesslich Version 1.5.3 enthält eine SQL-Injection-Schwachstelle (CWE-89). Gemäss dem CNA-Eintrag kann ein authentifizierter Benutzer mit Subscriber-Rechten SQL-Befehle einschleusen, wodurch Daten in der WordPress-Datenbank gelesen, verändert oder gelöscht werden könnten, einschliesslich Benutzerkonten. Der CVSS-Vektor im Eintrag (keine Berechtigungen erforderlich) widerspricht der Subscriber-Voraussetzung in der Beschreibung, daher hängt das reale Risiko davon ab, ob Angreifer ein Subscriber-Konto erhalten können, zum Beispiel über offene Selbstregistrierung.
Betroffen
- ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes (WordPress-Plugin, Basisvariante auf WordPress.org)
- Versionen bis einschliesslich 1.5.3
Behoben in
- Version 1.5.4 oder neuer (gemäss Patchstack)
Umgehung
- Keine vom Hersteller veröffentlichte Massnahme bekannt.
- Subscriber-Selbstregistrierung auf betroffenen Websites einschränken oder deaktivieren.
- Plugin deaktivieren, bis das Update installiert ist, falls kein Massenbearbeiten benötigt wird.
- Web Application Firewall oder Virtual Patch verwenden, falls verfügbar.
Ausnutzung
- In den geprüften Quellen nicht als bereits ausgenutzt (KEV/ITW) markiert.
- CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung partial.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet Ausnutzung, dies ist in den geprüften Quellen jedoch nicht bestätigt.
- Öffentlicher Proof of Concept: Unbekannt.
Unsere Empfehlung
- Plugin auf allen WooCommerce-Websites auf Version 1.5.4 oder neuer aktualisieren.
- Bis dahin betroffene Websites mit dem Plugin in Version 1.5.3 oder tiefer inventarisieren und das Plugin deaktivieren oder entfernen, wo kein Massenbearbeiten benötigt wird.
- Subscriber-Konten und Selbstregistrierung prüfen und einschränken, nicht benötigte Konten entfernen.
- Logs auf ungewöhnliche Datenbankfehler oder Anfragen an Endpunkte des Plugins überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- WordPress.org plugin page wordpress.org
- ELEX changelog elextensions.com
- OpenCVE CVE-2026-40800 app.opencve.io
- Vulners (Rapid7 record) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.