CartFlows: Remote Code Execution durch Benutzer mit Contributor-Rolle
Zusammenfassung
CartFlows, ein WordPress-Plugin für Funnel-Erstellung und Checkout mit WooCommerce, enthält in den Versionen 3.2.0 und älter eine Schwachstelle für Remote Code Execution. Ein authentifizierter Benutzer mit der Rolle Contributor oder höher kann beliebige Befehle auf dem Webserver ausführen. Der CNA stuft die Schwachstelle als hoch ein (CVSS 8.8), voraussetzt wird jedoch ein gültiges Konto auf der Website.
Betroffen
- CartFlows 3.2.0 und älter (<= 3.2.0)
Behoben in
- CartFlows 3.2.1 oder neuer
Umgehung
Unbekannt.
Ausnutzung
- Es wurde kein Nachweis für eine aktive Ausnutzung gefunden; die CISA-SSVC-Bewertung lautet Exploitation: none und Automatable: no.
- Es wurde kein öffentlicher Proof of Concept gefunden, was einen solchen aber nicht ausschliesst.
- Patchstack beschreibt die Schwachstelle als hoch gefährlich und erwartet eine Ausnutzung.
Unsere Empfehlung
- Aktualisieren Sie CartFlows auf allen Produktiv- und Testsystemen auf Version 3.2.1 oder neuer.
- Überprüfen Sie Konten mit den Rollen Contributor, Author und Editor, entfernen Sie nicht benötigte Konten und setzen Sie bei Bedarf Passwörter zurück.
- Verfolgen Sie die Advisories von Patchstack und Brainstorm Force sowie die NVD-Analyse auf Aktualisierungen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory for CartFlows <= 3.2.0 patchstack.com
- WordPress.org CartFlows plugin page and changelog wordpress.org
- Sucuri vulnerability patch roundup September 2026 blog.sucuri.net
- Wordfence threat intelligence: CartFlows www.wordfence.com
- CVE-2026-96837 record summary cve.threatint.com
- Strix CVE-2026-96837 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.