payever WooCommerce Gateway: Nicht authentifizierte PHP Object Injection

Zusammenfassung

Das WordPress-Plugin payever WooCommerce Gateway bis einschliesslich Version 4.8.2 enthält eine nicht authentifizierte PHP Object Injection Schwachstelle (CWE-502). Ein Angreifer kann ohne Anmeldung manipulierte Eingaben an das Plugin senden, was die serverseitige Verarbeitung beeinflussen und je nach Code und installierten Komponenten der Website zur Ausführung von beliebigem Code führen kann. Das Plugin verarbeitet Checkout- und Zahlungsabläufe, weshalb Kundendaten und Zahlungsprozesse in einem WooCommerce-Shop betroffen sein können. Der CVSS-3.1-Wert liegt bei 9.8 (kritisch); der Hersteller hat noch keine Korrektur bestätigt.

Betroffen

• WordPress-Plugin payever WooCommerce Gateway, Versionen bis einschliesslich 4.8.2 (Patchstack listet <= 4.9.0 als verwundbar)

Behoben in

• Unbekannt. Die Quellen widersprechen sich: Eine nennt 4.8.3 oder neuer, eine andere meldet, dass kein Patch verfügbar sei. Es wurde keine Herstellerwarnung gefunden.

Umgehung

• Plugin deaktivieren oder die Zahlungsmethode deaktivieren, bis eine verifizierte korrigierte Version installiert ist.
• Automatische Plugin-Updates in WordPress wo sinnvoll aktivieren.
• Virtual Patching auf der WAF ist möglicherweise machbar; es wurde keine herstellerspezifische Regel gefunden.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; CISA ADP listet Exploitation: none und die CVE ist nicht in der KEV-Liste.
• Kein öffentlicher Proof of Concept in den geprüften Quellen gefunden; dies schliesst einen solchen nicht aus.
• CISA SSVC markiert die Schwachstelle als automatisierbar mit totaler technischer Auswirkung.

Unsere Empfehlung

• Alle WordPress- und WooCommerce-Websites inventarisieren und prüfen, ob das payever-Plugin installiert ist und in welcher Version.
• Falls Version 4.8.2 oder älter installiert ist und keine verifizierte Korrektur verfügbar ist, das Plugin oder die Zahlungsmethode deaktivieren.
• Changelog des Herstellers und die Patchstack-Seite regelmässig prüfen und eine Korrektur vor dem Update verifizieren.
• Web-Server- und WAF-Logs auf verdächtige Anfragen an die Plugin-Endpunkte prüfen; auf unerwartete Dateien oder Administratorkonten achten.
• Vor jeder Änderung ein frisches Backup erstellen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• SentinelOne vulnerability database www.sentinelone.com
• OpenCVE CVE-2026-42716 app.opencve.io
• Vulners CVE-2026-42716 vulners.com
• HOL Guard CVE-2026-42716 hol.org
• WordPress.org plugin page wordpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:42.