CoCart: Cross-Site Request Forgery ermöglicht Erstellung von Administratorkonten
Zusammenfassung
CoCart, ein WordPress-Plugin mit einer REST-API für WooCommerce-Warenkörbe, begrenzt vor Version 4.9.7 seinen REST-API-Authentifizierungsfilter nicht auf die eigenen Endpunkte. Dadurch wird der REST-Nonce-Schutz von WordPress Core für alle Routen deaktiviert. Ein Angreifer kann mittels Cross-Site Request Forgery ein neues Administratorkonto erstellen, während ein angemeldeter Administrator eine manipulierte Seite besucht.
Betroffen
- CoCart-Versionen 4.9.0 bis vor 4.9.7 (untere Grenze gemäss Drittquellen; Versionen vor 4.9.0 unbekannt)
- WordPress-/WooCommerce-Websites, auf denen das Plugin installiert ist
Behoben in
- Auf CoCart 4.9.7 oder neuer aktualisieren
Umgehung
- Keine offizielle Workaround-Massnahme bekannt. Die Herstellerlösung ist das Update auf 4.9.7.
- Bis zur Aktualisierung das Plugin deaktivieren, falls der Headless-Warenkorb nicht genutzt wird (Empfehlung, nicht vom Hersteller).
- Bis zur Aktualisierung sollten Administratoren beim Angemeldetsein im WordPress-Adminbereich keine unbekannten Websites besuchen.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- CISA-KEV-Status: laut einem Drittanbieter-Aggregator nicht gelistet; nicht direkt im CISA-Katalog überprüft.
- EPSS-Wert 0.11% laut einem Drittanbieter-Aggregator.
- Öffentlich verfügbarer Proof of Concept unbestätigt.
Unsere Empfehlung
- Prüfen, ob das CoCart-Plugin auf einer WordPress-/WooCommerce-Website installiert ist und welche Version läuft.
- Auf CoCart 4.9.7 oder neuer aktualisieren.
- Administratorenlisten auf unerwartete Administratorkonten prüfen, insbesondere auf nicht gepatchten Websites.
- Die Seiten von WPScan, NVD und CISA KEV auf Änderungen des Ausnutzungsstatus überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan: CoCart 4.9.0 – 4.9.6 Administrator Account Creation via REST API Authentication Bypass wpscan.com
- CoCart GitHub releases github.com
- WordPress.org plugin listing: Cart REST API for WooCommerce wordpress.org
- VulDB: CVE-2026-93549 vuldb.com
- Rapid7 via Vulners: CVE-2026-93549 vulners.com
- OffSeq Radar: CVE-2026-93549 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:36.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.