FooSales: Rechteerweiterung durch E-Mail-Änderung und Kontoübernahme
Zusammenfassung
Das Plugin FooSales – Point of Sale (POS) for WooCommerce für WordPress prüft die Identität eines Benutzers vor der Aktualisierung von Kontodaten wie der E-Mail-Adresse nicht korrekt. Alle Versionen bis einschliesslich 1.43.0 sind betroffen. Ein authentifizierter Angreifer mit mindestens Cashier-Berechtigung kann die E-Mail-Adresse beliebiger Benutzer ändern, einschliesslich Administratoren, das Passwort anschliessend zurücksetzen und so das Konto übernehmen.
Betroffen
- FooSales – Point of Sale (POS) for WooCommerce (WordPress-Plugin), alle Versionen bis einschliesslich 1.43.0
Behoben in
- 1.43.1, laut WPScan (einzige Drittquelle, noch nicht durch den Hersteller oder Wordfence bestätigt)
- Herstellerhinweis: Unbekannt.
Umgehung
- Unbekannt. Es wurde kein Workaround des Herstellers gefunden.
- Cashier-Konten prüfen und nicht benötigte Berechtigungen entziehen.
- Zugangsdaten verdächtiger Konten zurücksetzen.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC (ADP Vulnrichment): Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob FooSales auf einer WooCommerce-Website installiert ist und welche Version verwendet wird.
- Nach Abgleich der Korrektur mit dem Wordfence-Eintrag auf die neueste verfügbare Version aktualisieren. Eine verwandte FooSales-Schwachstelle (CVE-2026-93548) ist in 1.43.3 behoben, daher ist 1.43.3 das praktische Ziel.
- Administrator- und Cashier-Konten sowie E-Mail-Adressen auf unerwartete Änderungen prüfen und kürzlich erfolgte Passwort-Zurücksetzungen kontrollieren.
- MFA für Administratorkonten aktivieren, wo möglich, und die Vergabe der Cashier-Rolle einschränken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Wordfence threat intelligence record www.wordfence.com
- WordPress trac changeset class-foosales-rest-api.php plugins.trac.wordpress.org
- WordPress trac changeset foosales-xmlrpc-functions.php plugins.trac.wordpress.org
- WPScan plugin page FooSales wpscan.com
- OpenCVE CVE-2026-77183 app.opencve.io
- Red Packet Security CVE alert www.redpacketsecurity.com
- Strix CVE-2026-77183 www.strix.ai
- VulDB 415733 (related FooSales flaw) vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:46.
Referenzen der NVD (3)
- https://plugins.trac.wordpress.org/changeset/3719657/foosales/trunk/admin/class-foosales-rest-api.php
- https://plugins.trac.wordpress.org/changeset/3719657/foosales/trunk/admin/foosales-xmlrpc-functions.php
- https://www.wordfence.com/threat-intel/vulnerabilities/id/97097d41-1d78-4db0-8ee2-70a776bd99f2?source=cve
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.