Nexi XPay Build WordPress-Plugin: Fehlende Autorisierung in Zahlungsrouten
Zusammenfassung
Das Nexi XPay Build WordPress-Plugin bis und mit Version 7.6.2 prüft das Zahlungsergebnis auf mehreren nicht authentifizierten Routen nicht. Ein nicht authentifizierter Angreifer aus dem Internet kann beliebige Bestellungen als bezahlt oder fehlgeschlagen markieren, sie stornieren und Bestellschlüssel abrufen, die Angaben zu Gastkäufern offenlegen. Es ist kein Login erforderlich, daher ist jeder öffentlich erreichbare WooCommerce-Shop mit diesem Plugin betroffen.
Betroffen
- Nexi XPay Build WordPress-Plugin, Versionen 7.0.0 bis 7.6.2 (gemäss WPScan und Drittanbieter-Aggregatoren)
Behoben in
- Unbekannt. Es wurde keine Herstellermeldung und keine bestätigte korrigierte Version gefunden.
- Nicht davon ausgehen, dass 7.6.3 oder 8.0.0 diese CVE behebt, solange dies nicht bestätigt ist.
Umgehung
- Zugriff auf den Endpunkt für Zahlungsbenachrichtigungen auf IP-Adressen des Zahlungsdienstleisters beschränken (Nexi-IP-Bereiche zuerst bei Nexi bestätigen).
- Bestelllogs auf unerwartete Statusänderungen, Stornierungen und Zugriffe auf Bestelldetails prüfen.
- Plugin oder Zahlungsmethode deaktivieren, bis eine korrigierte Version bestätigt ist, falls Zahlungen anderweitig angenommen werden können.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden; die Suche war nicht erschöpfend.
Unsere Empfehlung
- Kunden ermitteln, auf denen das Plugin in Version 7.6.2 oder älter läuft.
- WPScan-Eintrag und Mitteilung von Nexi beschaffen, um die korrigierte Version zu bestätigen.
- Endpunkt-Einschränkung und Log-Prüfung anwenden, bis eine Korrektur bestätigt ist, oder das Plugin deaktivieren, falls der Shop ohne es betrieben werden kann.
- Falls Logs unerwartete Bestelländerungen oder Zugriffe auf Gastdaten zeigen, als möglichen Vorfall mit Personendaten behandeln und mit dem Kunden die Meldepflichten nach dem nDSG prüfen.
- Zusammen mit CVE-2026-82212 und CVE-2026-82213 beurteilen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability entry wpscan.com
- Strix CVE-2026-82211 www.strix.ai
- OffSeq radar CVE-2026-82211 radar.offseq.com
- OpenCVE CVE-2026-82211 app.opencve.io
- VulDB CVE-2026-82212 (endpoint restriction and log review guidance) vuldb.com
- WordPress.org plugin page (cartasi-x-pay) wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:55.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.