WPC Shop as a Customer for WooCommerce: Rechteausweitung über Kontoübernahme

Zusammenfassung

Das WordPress-Plugin WPC Shop as a Customer for WooCommerce prüft in den Versionen bis und mit 2.0.0 die Rolle des Zielbenutzers nicht, bevor eine neue Anmeldesitzung ausgestellt wird. Ein authentifizierter Angreifer mit einem Konto mit geringen Rechten, etwa einem Kunden- oder Abonnenten-Konto, kann die Benutzer-ID eines WordPress-Administrators an den Endpunkt wpcsa_login senden und erhält ein vollwertiges Administrator-Session-Cookie, ohne das Passwort des Administrators zu kennen. Damit erhält der Angreifer die volle Administratorkontrolle über die Website, einschliesslich Kundendaten, Bestellungen und Zahlungseinstellungen.

Betroffen

• WPC Shop as a Customer for WooCommerce (WordPress-Plugin) von WPClever, alle Versionen bis und mit 2.0.0
• Standardkonfiguration: nicht betroffen (gemäss CNA-Eintrag)

Behoben in

• Version 2.0.1 (WordPress.org-Changeset für Tag 2.0.1). VulDB gibt an, dass die Rollenprüfung ab Version 2.0.1 oder später behoben ist.
• Kein Sicherheitshinweis von WPClever gefunden. Die installierte Version muss 2.0.1 oder neuer sein.

Umgehung

• Plugin deaktivieren, bis ein Update installiert ist. Dies ist eine Empfehlung Dritter; eine vom Hersteller dokumentierte Massnahme wurde nicht gefunden.
• Nach der Deaktivierung oder dem Update Administratorpasswörter ändern und aktive Sitzungen ungültig machen, da Administrator-Sitzungen bereits ausgestellt worden sein könnten.
• Administratorkonten auf unbekannte Benutzer prüfen und Logs auf Anfragen an den Endpunkt wpcsa_login kontrollieren.

Ausnutzung

• Ausnutzung in freier Wildbahn: keine bekannt. Nicht im Katalog CISA KEV aufgeführt.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Öffentlicher Exploit-Code: keiner bestätigt (nur indikativ).
• EPSS-Wert: noch nicht berechnet.

Unsere Empfehlung

• Alle WordPress-Websites mit diesem Plugin erfassen, auch solche mit Version 2.0.0 oder älter.
• Auf Version 2.0.1 oder neuer aktualisieren. Ist kein Update möglich, das Plugin deaktivieren.
• Administratorkonten und aktive Sitzungen prüfen und bei Unregelmässigkeiten Passwörter und Sitzungen zurücksetzen.
• Die Registrierung von Kundenkonten einschränken, falls sie nicht benötigt wird, da das erforderliche Konto mit geringen Rechten auf vielen Shops leicht zu erhalten ist.
• Logs auf Anfragen an den Endpunkt wpcsa_login überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence (CVE-2026-95687) www.wordfence.com
• WordPress.org changeset for tag 2.0.1 plugins.trac.wordpress.org
• VulDB CVE-2026-95687 vuldb.com
• WordPress.org plugin page: WPC Shop as a Customer for WooCommerce wordpress.org
• WPScan plugin page: WPC Shop as a Customer for WooCommerce wpscan.com
• TheHackerWire CVE-2026-95687 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:01.