JTL-Connector for WooCommerce: Nicht authentifizierter beliebiger Datei-Upload

Zusammenfassung

Das WordPress-Plugin JTL-Connector for WooCommerce akzeptiert bis einschliesslich Version 2.4.3 in der Funktion startSession() einen leeren jtlauth-Parameter als gültige Anmeldeinformation. In Kombination mit unzureichender Dateityp-Validierung in handleImagePush() können nicht authentifizierte Angreifer über die Funktion saveImage() Dateien hochladen. Hochgeladene Dateien können ausführbar sein, wodurch Remote Code Execution auf dem Webserver möglich ist. Der CNA-Eintrag nennt als Hersteller 'ntbyk', der Code und die Fixes werden jedoch von JTL-Software veröffentlicht.

Betroffen

• JTL-Connector for WooCommerce WordPress-Plugin, Versionen bis einschliesslich 2.4.3
• Standardkonfiguration: nicht betroffen (gemäss CNA-Eintrag, kein Standardzustand angegeben)

Behoben in

• Behoben in 2.4.5 gemäss einem deutschen Sicherheitsartikel und einem GitHub-Pull-Request. Es wurde kein Sicherheitsadvisory von JTL gefunden, daher ist dies nicht durch den Hersteller bestätigt.
• Vor der Installation das JTL-Changelog auf die neueste Version prüfen. Eine neuere Version (2.4.6) wird erwähnt, ist aber nicht bestätigt.
• WordPress.org hat das Plugin geschlossen, daher muss das Update manuell installiert werden.

Umgehung

• Unbekannt. Es wurde keine Workaround-Massnahme des Herstellers gefunden.
• Das Plugin deaktivieren, bis eine korrigierte Version installiert ist.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.

Unsere Empfehlung

• Prüfen, ob das Plugin installiert ist und welche Version läuft.
• Das Plugin deaktivieren oder den Zugriff auf seine Endpunkte einschränken, bis eine korrigierte Version installiert ist.
• Die neueste korrigierte Version manuell vom Hersteller installieren und die Version danach überprüfen.
• Upload-Verzeichnisse auf unerwartete oder ausführbare Dateien prüfen und Webserver-Logs auf verdächtige Anfragen kontrollieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence entry www.wordfence.com
• Vulners CVE entry vulners.com
• WPScan vulnerability entry wpscan.com
• Dr. Web article on JTL connector security flaw (German) www.drweb.de
• JTL connector WooCommerce pull request 86 github.com
• JTL connector WooCommerce changelog github.com
• JTL connector WooCommerce repository github.com
• Vulnerable code: ImageController.php (2.4.3) plugins.trac.wordpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:03.