WordPress-Plugin Blacklist Manager: Cross-Site Request Forgery (CSRF)

Zusammenfassung

Das WordPress-Plugin Blacklist Manager – WooCommerce Anti-Fraud, Blacklist & Checkout Verification bis und mit Version 2.3.1 ist anfällig für Cross-Site Request Forgery (CSRF). Ein Angreifer kann einen angemeldeten Benutzer, etwa einen Shop-Administrator, auf eine manipulierte Seite locken, die ungewollte Aktionen auslöst. Der Angreifer benötigt keine Anmeldung, jedoch muss ein privilegierter Benutzer die manipulierte Seite im angemeldeten Zustand besuchen. Welche Aktionen über diese Schwachstelle konkret erreichbar sind, ist nicht verifiziert.

Betroffen

• Blacklist Manager – WooCommerce Anti-Fraud, Blacklist & Checkout Verification (WordPress-Plugin, Slug wc-blacklist-manager)
• Versionen bis und mit 2.3.1

Behoben in

• Version 2.3.2 gemäss CVE-Eintrag und Patchstack-Advisory
• Das WordPress.org-Changelog nennt Version 2.3.4 (15. Okt. 2026), deren Einträge erwähnen jedoch kein CSRF, daher ist nicht bestätigt, dass sie diese CVE behebt

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers gefunden.

• Beim Surfen auf anderen Websites im WordPress-Admin-Bereich abmelden
• Für Admin-Arbeiten ein separates Browserprofil verwenden

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung
• In den geprüften Quellen wurden kein öffentlicher Proof of Concept und keine Hinweise auf Ausnutzung gefunden
• Nicht im CISA-KEV-Hinweis vom 13. Oktober 2026 aufgeführt

Unsere Empfehlung

• Prüfen, ob auf Websites wc-blacklist-manager in Version 2.3.1 oder älter läuft
• Auf Version 2.3.2 oder neuer aktualisieren und die installierte Version überprüfen
• Blockliste auf unerwartete Einträge prüfen, insbesondere wenn ein privilegierter Benutzer im angemeldeten Zustand unbekannte Websites besucht hat
• Falls kein Update möglich ist, den Hersteller YoOhw Studio kontaktieren und Admin-Browsersitzungen einschränken

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory CVE-2026-96838 patchstack.com
• Strix CVE record CVE-2026-96838 www.strix.ai
• WordPress.org plugin page wc-blacklist-manager wordpress.org
• CISA KEV alert 13 October 2026 www.cisa.gov

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:08.