Fundiin cho WooCommerce: Fehlende Autorisierung in REST-API-Routen

Zusammenfassung

Das WordPress-Plugin Fundiin cho WooCommerce bis und mit Version 3.4.0 prüft die Autorisierung auf mehreren REST-API-Routen nicht korrekt und verwendet stattdessen ein Credential, das auf jeder Installation identisch ist. Nicht authentifizierte Angreifer können Zahlungs-Credentials und Kundenbestelldaten auslesen, die Konfiguration des Zahlungs-Gateways so ändern, dass Zahlungen auf ein anderes Konto gehen, und unbezahlte Bestellungen als bezahlt markieren. Dieselbe Schwachstelle erlaubt auf Shops mit dem klassischen Checkout statt dem blockbasierten Checkout zudem ein nicht authentifiziertes gespeichertes Cross-Site-Scripting.

Betroffen

• WordPress-Plugin Fundiin cho WooCommerce, alle Versionen bis und mit 3.4.0
• Shops mit aktiviertem Plugin; der XSS-Teil betrifft nur den klassischen Checkout

Behoben in

Unbekannt. WPScan führt "No known fix".

• Das GitHub-Release v2.0.9 von Fundiin beschreibt Härtungsmassnahmen für die Sicherheit, aktualisiert aber das WordPress.org-Paket nicht, und die Versionsnummerierung passt nicht klar zur Linie 3.x. Als Behebung von CVE-2026-81649 ist es nicht verifiziert.

Umgehung

• Plugin deaktivieren oder deinstallieren, bis eine verifizierte korrigierte Version verfügbar ist (Empfehlung von VulDB).
• Shops mit blockbasiertem Checkout sind vom XSS-Pfad nicht betroffen, dies behebt jedoch nicht die Probleme mit Credentials und Manipulation von Bestellungen.

Ausnutzung

• CISA SSVC: automatisierbar ja, technische Auswirkung total.
• VulDB: Ausnutzung wird als einfach bezeichnet und erfordert keine Authentifizierung; es sind keine öffentlichen technischen Details oder Exploits bekannt. Der Abschnitt Proof of Concept bei WPScan ist leer.
• EPSS 0.14%; nicht im CISA KEV aufgeführt. Es wurden keine Berichte über aktive Ausnutzung gefunden.

Unsere Empfehlung

• Prüfen, ob das Plugin auf einem Shop installiert ist und welche Version aktiv ist.
• Plugin deaktivieren, bis eine korrigierte Version aus dem WordPress.org-Release bestätigt ist.
• Gateway-Einstellungen, kürzliche Änderungen am Zahlungs-Gateway und als bezahlt markierte Bestellungen ohne passenden Zahlungsbeleg prüfen.
• Zahlungs-Credentials bei Fundiin erneuern, falls eine Kompromittierung nicht ausgeschlossen werden kann.
• Webserver-Logs auf ungewöhnliche Anfragen an die REST-Routen des Plugins prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• WPScan: Fundiin <= 3.4.0 - Unauthenticated Payment Gateway Settings Update and Credential Disclosure wpscan.com
• VulDB: CVE-2026-81649 vuldb.com
• VulDB: Vulnerability 416501 vuldb.com
• Fundiin Wordpress Plugin release v2.0.9 github.com
• GitHub: astruzocyber CVE issue 1704 (EPSS) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:58.