🔴 CVE-2026-16947: Critical Schwachstelle

Zusammenfassung

Die Sicherheitslücke CVE-2026-16947 betrifft das WordPress-Plugin „Total processing card payments for WooCommerce“ in der Version 7.3 und älter. Die kritische Schwachstelle ermöglicht es unauthentifizierten Angreifern, Payment-Gateway-Kredenziale offenzulegen und betrügerisch Bestellungen als bezahlt zu markieren. Mit einem CVSS-Wert von 9.1 handelt es sich um eine kritische Vulnerability mit hohem Exploitationspotenzial.

Betroffene Systeme

Das WordPress-Plugin „Total processing card payments for WooCommerce“ in den Versionen bis einschließlich 7.3 ist anfällig. Die Schwachstelle betrifft WooCommerce-Installationen, die dieses Plugin für die Zahlungsabwicklung einsetzen. Besonders e-Commerce-Systeme mit aktiviertem Plugin und direktem Internetzzugang sind gefährdet.

Technische Details

Die Vulnerability basiert auf zwei kritischen Sicherheitsmängeln:

• Fehlende Pfadvalidierung: Das Plugin validiert benutzersupplierte Pfade nicht ausreichend, bevor diese für serverseitige Verifizierungsanfragen verwendet werden.
• Fehlende Authentizitätsprüfung: Die Authentizität von Payment-Gateway-Responses wird nicht überprüft, was Angreifern ermöglicht, falsche Erfolgsbestätigungen zu konstruieren.

Ein Angreifer kann die fehlende Validierung ausnutzen, um Anfragen auf willkürliche Hosts umzuleiten. Dadurch werden Zahlungsgateways-Kredenziale gegenüber dem Angreifer offengelegt. Zudem können gefälschte Success-Responses dazu führen, dass beliebige WooCommerce-Bestellungen als bezahlt markiert werden.

Empfohlene Massnahmen

• Plugin sofort deaktivieren und deinstallieren, bis ein Patch verfügbar ist
• Alternative Payment-Gateways implementieren
• Zahlungsgateways-Kredenziale überprüfen und ggf. erneuern
• Bestellhistorie auf verdächtige, unbezahlte Transaktionen überprüfen
• Web Application Firewall (WAF) aktivieren zur Anfragekontrolle
• Regelmäßige Überwachung der Plugin-Updates durchführen

Bewertung

Schweregrad: Critical | CVSS-Score: 9.1 | Patch-Status: Nicht verfügbar

Aufgrund des fehlenden Patches und des kritischen Schwergrades sollte eine sofortige Reaktion erfolgen. E-Commerce-Betreiber müssen das Plugin umgehend aus ihren Produktivumgebungen entfernen.