Booster for WooCommerce: Unauthentifizierte PHP-Object-Injection
Zusammenfassung
Booster for WooCommerce, ein WordPress-Plugin für WooCommerce-Shops, enthält in Versionen bis und mit 8.4.0 eine unauthentifizierte PHP-Object-Injection-Schwachstelle (CWE-502). Ein nicht angemeldeter Angreifer kann serialisierte Daten manipulieren, die vom Plugin verarbeitet werden, was schädliche Aktionen auf dem Server ermöglichen kann. Der CVSS-Score beträgt 9.8 (kritisch), und die tatsächliche Auswirkung hängt von den Codepfaden und den übrigen Plugins auf der Website ab.
Betroffen
- Booster for WooCommerce (Paket woocommerce-jetpack) bis und mit 8.4.0
- Gemeldeter betroffener Bereich: <= 8.4.0
Behoben in
- Aktualisierung auf 8.5.0 oder neuer (gemeldete Mindestversion)
- Aktuelle Version zum Zeitpunkt der Erstellung: 8.5.1 (Plugin-Seite und GitHub-Pull-Request 147)
- Unbekannt: ob 8.5.0 die spezifische Korrektur für diese CVE ist, da kein Herstellerhinweis die CVE nennt
Umgehung
- Keine bekannte Workaround-Massnahme des Herstellers.
- Falls eine Aktualisierung nicht sofort möglich ist, Plugin deaktivieren oder den Zugriff darauf einschränken.
- Bei Patchstack nachfragen, ob Virtual Patching verfügbar ist.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Total technical impact
- Nicht in der CISA-KEV-Liste
- EPSS: nicht angegeben
- Öffentlicher Proof of Concept: keiner gefunden
- Patchstack beschreibt die Schwachstelle als voraussichtlich ausgenutzt; bisher ist keine Ausnutzung in freier Wildbahn erfasst
Unsere Empfehlung
- Alle WordPress-Websites (inklusive Staging) auf das Plugin woocommerce-jetpack prüfen und die installierte Version erfassen.
- Auf die aktuelle Version aktualisieren (zum Zeitpunkt der Erstellung 8.5.1), wobei 8.5.0 als Mindestversion gilt.
- Die Korrektur anhand des Patchstack-Advisory bestätigen, da kein Herstellerhinweis die CVE nennt.
- Andere Plugins und Themes auf denselben Websites auf ungepatchte Schwachstellen prüfen.
- Falls das Plugin vor dem Patchen exponiert war, Logs auf ungewöhnliche Anfragen an Booster-Endpunkte prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- WordPress plugin page woocommerce-jetpack wordpress.org
- GitHub pull request 147 pluggabl/woocommerce-jetpack github.com
- GitHub Advisory GHSA-3777-f2vm-752j github.com
- CVEMon CVE-2026-42718 cvemon.intruder.io
- OpenCVE CVE-2026-42718 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:43.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.