Sipay WooCommerce Virtual POS Module: Authentifizierungsumgehung über Man-in-the-Middle
Zusammenfassung
Das Sipay WooCommerce Virtual POS Module, ein WordPress-Plugin für Kartenzahlungen in Online-Shops, verfügt über eine fehlende Authentifizierung für eine kritische Funktion und prüft einen Integritätsprüfwert nicht korrekt. Ein Netzwerkangreifer, der als Man-in-the-Middle auf dem Datenverkehr zwischen Shop und Zahlungsablauf sitzt, kann die Authentifizierung umgehen und API-Nachrichten der Anwendung manipulieren, einschliesslich des Zahlungsstatus. Der CNA stuft die Schwachstelle als kritisch ein (CVSS 9.1).
Betroffen
- WooCommerce Virtual POS Module von 26.8.3 vor 26.9.1
- Versionen vor 26.8.3: Unbekannt.
Behoben in
- Aktualisierung auf Version 26.9.1 oder neuer.
Umgehung
- Unbekannt. In den geprüften Quellen ist kein Workaround aufgeführt; die Aktualisierung auf 26.9.1 ist die einzige Behebung.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn (Radar führt die Schwachstelle als nicht als ausgenutzt bekannt; kein Eintrag im CISA KEV gefunden).
- Kein öffentlicher Proof of Concept und kein öffentlicher Exploit-Code gefunden.
- VulDB kennzeichnet den Eintrag als 0-Day, d. h. die Schwachstelle war vor der Offenlegung nicht öffentlich bekannt.
Unsere Empfehlung
- Alle WooCommerce-Shops mit Sipay Virtual POS identifizieren und deren Versionen erfassen.
- Jede Installation von 26.8.3 bis 26.9.0 auf 26.9.1 aktualisieren.
- Aktuelle Zahlungs- und Bestellungsdaten mit den Transaktionsdaten des Zahlungsanbieters abgleichen.
- Sipay bitten, den betroffenen Bereich zu bestätigen, einschliesslich der Frage, ob ältere Versionen betroffen sind.
- Weitere Sipay-Shop-Module (PrestaShop, OpenCart) auf die verwandten kritischen Schwachstellen CVE-2026-86405 und CVE-2026-85531 prüfen, die in 26.9.1 behoben sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-85632 www.cve.org
- TR-CERT advisory tr-26-1520 siberguvenlik.gov.tr
- VulDB entry 435836 vuldb.com
- Radar Offseq CVE-2026-85632 radar.offseq.com
- NVD mirror CVE-2026-85632 (threatint) cve.threatint.com
- Ionix CVE-2026-86405 (PrestaShop module) www.ionix.io
- GitHub advisory GHSA-9f78-prj9-gr67 (OpenCart module, CVE-2026-85531) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 16:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.