YITH WooCommerce Gift Cards: Guthabenaufblähung über rabattierten Kauf
Zusammenfassung
Das WordPress-Plugin YITH WooCommerce Gift Cards bis und mit Version 4.39.0 schreibt einer neu ausgestellten Geschenkkarte den Preis des Artikels vor dem Rabatt gut statt den tatsächlich bezahlten Betrag. Ein Kunde kann beim Checkout einen gewöhnlichen Shop-Gutschein anwenden und erhält so eine Geschenkkarte, die mehr wert ist als der bezahlte Betrag. Der CVE-Eintrag beschreibt den Angriff ohne Authentifizierung, die genauen Voraussetzungen (zum Beispiel Gastbestellung) sind jedoch nicht bestätigt.
Betroffen
- YITH WooCommerce Gift Cards bis und mit 4.39.0
- Versionen vor 4.39.0 gelten als betroffen (Eintrag nennt 0 bis <= 4.39.0)
Behoben in
Unbekannt. Für dieses Problem ist kein Herstellerfix bestätigt. Version 4.38.1 behebt ein anderes Problem (CVE-2026-88814) und darf nicht als Fix für CVE-2026-88813 angenommen werden.
Umgehung
- Die Geschenkkartenfunktion deaktivieren oder verhindern, dass Gutscheine auf Geschenkkartenkäufe angewendet werden (allgemeine Empfehlung, keine Herstellerangabe)
- Ausgestellte Geschenkkarten und Bestellungen prüfen: Wert jeder Karte mit dem bezahlten Betrag vergleichen und nach Karten aus rabattierten Bestellungen suchen
Ausnutzung
- Laut Sekundärquellen nicht im CISA-KEV-Katalog aufgeführt; auf cisa.gov prüfen
- Kein öffentlicher Proof of Concept gefunden (Sekundärquellen)
- Hinweise auf Ausnutzung: unbekannt
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise
Unsere Empfehlung
- Prüfen, ob der Webshop YITH-Geschenkkarten verkauft
- Geschenkkarten aus gutscheinrabattierten Bestellungen prüfen und Werte mit den bezahlten Beträgen vergleichen
- Gutscheine auf Geschenkkartenkäufe einschränken oder den Verkauf von Geschenkkarten vorübergehend deaktivieren, bis ein Fix bestätigt ist
- Plugin auf dem neuesten Stand halten und in den kommenden Tagen Changelog von YITH sowie NVD/WPScan auf einen Fix prüfen
- Einlösungen von Geschenkkarten mit ungewöhnlich hohen Guthaben überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- CVE Record CVE-2026-88813 www.cve.org
- WordPress.org plugin page wordpress.org
- OffSeq Threat Radar radar.offseq.com
- VulDB entry vuldb.com
- TheHackerWire CVE-2026-88813 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:00.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.