FooSales WordPress-Plugin: Rechteerweiterung durch Benutzer-Impersonation
Zusammenfassung
Das FooSales-Point-of-Sale-Plugin für WooCommerce unter WordPress prüft nicht, ob ein angemeldeter Aufrufer berechtigt ist, im Namen des in einer Anfrage genannten Benutzers zu handeln. Jeder angemeldete Benutzer mit einer niedrigen Rolle, etwa ein Abonnent oder Kunde, kann dadurch als anderer Benutzer handeln, auch als Administrator. Ein Angreifer kann so Kontodaten offenlegen und das Konto übernehmen, was bis zur vollständigen Kontrolle über die WordPress-Website führen kann.
Betroffen
- FooSales WordPress-Plugin, alle Versionen vor 1.43.3
- Die Quellen unterscheiden sich im genauen Bereich: VulDB nennt die Versionen 1.43.0 bis 1.43.2
Behoben in
- Version 1.43.3 (WPScan nennt diese Version als behobene Version)
Umgehung
- Kein Workaround des Herstellers bekannt.
- Bis zur Aktualisierung die offene Benutzerregistrierung einschränken oder deaktivieren.
- Administrative und andere privilegierte Konten auf unerwartete Änderungen prüfen sowie kürzliche Passwort- oder E-Mail-Änderungen kontrollieren.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- CISA KEV: nicht gelistet. EPSS: 0.13%.
- CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden; VulDB gibt an, dass kein Exploit verfügbar ist.
Unsere Empfehlung
- Das FooSales-Plugin umgehend auf Version 1.43.3 oder neuer aktualisieren.
- Auf jeder WordPress-Website mit WooCommerce die installierte Plugin-Version prüfen.
- Offene Selbstregistrierung deaktivieren, sofern sie nicht benötigt wird.
- Administratorkonten und kürzliche Kontoänderungen auf Anzeichen von Missbrauch prüfen.
- Protokolle auf ungewöhnliche Kontoänderungen und Anmeldungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan advisory wpscan.com
- WPScan plugin page: FooSales wpscan.com
- VulDB entry CVE-2026-93548 vuldb.com
- VulDB CVE page vuldb.com
- Vulners (Rapid7) CVE-2026-93548 vulners.com
- WordPress.org plugin page: FooSales wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:03.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.