TillKit WordPress-Plugin: Authentifizierungsumgehung über fest codierte Standard-PIN
Zusammenfassung
Das TillKit-WordPress-Plugin wandelt einen WooCommerce-Shop in einen mobilen Kassenarbeitsplatz (POS) um. Bei der Aktivierung legt es ein privilegiertes POS-Konto an, das mit einer fest codierten, öffentlich bekannten PIN geschützt ist und vor der Nutzung nicht geändert werden muss. Der öffentliche POS-Login prüft nur diese PIN, daher kann ein nicht authentifizierter Angreifer eine privilegierte POS-Sitzung erhalten, persönliche Daten von Kunden und Website-Benutzern lesen und Shop-Daten verändern. WPScan bewertet die Lücke mit 8.1, der CVE-Eintrag mit 8.2 (CVSS 3.1).
Betroffen
- TillKit-WordPress-Plugin, alle Versionen vor 1.0.5 (VulDB nennt bis 1.0.4)
Behoben in
- Auf TillKit 1.0.5 oder neuer aktualisieren
Umgehung
Unbekannt. Die geprüften Quellen beschreiben keine Workaround-Massnahme.
Ausnutzung
- Zum Zeitpunkt der Quellen nicht in CISA KEV aufgeführt.
- CISA-SSVC-Bewertung: Exploitation none, automatable yes, technical impact partial.
- Kein öffentlicher Proof of Concept bestätigt.
- Keine Ausnutzung in freier Wildbahn bekannt.
- EPSS-Werte widersprechen sich zwischen den Quellen.
Unsere Empfehlung
- Alle WordPress/WooCommerce-Websites auf TillKit prüfen und die installierte Version kontrollieren.
- Auf 1.0.5 oder neuer aktualisieren oder das Plugin bis zur Aktualisierung deaktivieren.
- Falls ein Update nicht sofort möglich ist, den Zugriff auf den POS-Login-Pfad auf Webserver- oder WAF-Ebene einschränken (dies ist eine Empfehlung der Recherche, keine Angabe einer Quelle).
- POS-Login-Protokolle und Zugriffe auf Kundendaten prüfen und kontrollieren, ob das Konto mit der fest codierten PIN noch existiert.
- Öffentlich erreichbare Staging-Websites in die Prüfung einbeziehen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan: TillKit < 1.0.5 - Unauthenticated POS Takeover wpscan.com
- VulDB: CVE-2026-91078 vuldb.com
- WordPress.org: TillKit plugin wordpress.org
- GitHub: CVE issue 1161 (EPSS and KEV status) github.com
- Positive Technologies: PT-2026-104530 vulners.com
- Rapid7 aggregation via Vulners: CVE-2026-91078 vulners.com
- CVE aggregator: CVE-2026-91078 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:06.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.