„`html
Zusammenfassung
Die CVE-2026-16038 beschreibt eine kritische Authentifizierungslücke im MStore API WordPress-Plugin in Versionen vor 4.21.0. Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, Bestellungen als bezahlt zu markieren, ohne die tatsächliche Zahlung über das Payment-Gateway zu verifizieren. Dies führt zu einem direkten Umgehen des Zahlungsprozesses.
Betroffene Systeme
Betroffen sind WordPress-Installationen mit dem MStore API Plugin in Versionen vor 4.21.0. Das Plugin wird häufig in E-Commerce-Umgebungen eingesetzt. Ein Patch ist derzeit nicht verfügbar, wodurch alle betroffenen Versionen anfällig bleiben.
Technische Details
Die Schwachstelle liegt in mehreren Payment-Completion-Endpoints des Plugins. Diese Endpoints validieren Zahlungen nicht korrekt gegenĂĽber dem verbundenen Payment-Gateway, bevor Bestellungen den Status „bezahlt“ erhalten. Ein unauthentifizierter Angreifer kann diese Endpoints direkt aufrufen und beliebige Bestellungen manipulieren. Die fehlende Verifikation der Gateway-Bestätigung erlaubt es, ohne Zahlungsleistung an Waren oder Services zu gelangen. Der Angriffsvektor ist netzwerkbasiert und erfordert keine speziellen Privilegien oder Interaktionen von Benutzern.
Empfohlene Massnahmen
- Upgrade auf MStore API Plugin Version 4.21.0 oder höher durchführen (sobald verfügbar)
- Betroffene Systeme bis zur VerfĂĽgbarkeit eines Patches isolieren oder deaktivieren
- Auditlogs auf verdächtige Payment-Completion-Requests überprüfen
- Alternative Payment-Gateways mit unabhängiger Verifizierung evaluieren
- Web Application Firewall (WAF) mit Regeln zum Schutz der betroffenen Endpoints konfigurieren
Bewertung
Mit einem CVSS-Score von 9.1 handelt es sich um eine kritische Sicherheitslücke. Die fehlende Authentifizierung kombiniert mit direktem finanziellem Schaden macht diese Schwachstelle zu einer unmittelbaren Bedrohung für E-Commerce-Betreiber. Das Fehlen eines verfügbaren Patches verschärft die Situation erheblich.
„`