🟠 CVE-2026-11568: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-11568 ist eine Sicherheitslücke im WordPress-Plugin „Product Configurator for WooCommerce“ in Versionen vor 1.7.3. Die Schwachstelle ermöglicht es unauthentizierten Benutzern, vertrauliche Produktdaten von privaten und Entwurfsprodukten abzurufen. Der CVSS-Score von 7.5 klassifiziert diese als High-Severity-Vulnerability. Die Lücke umgeht WordPress-Sichtbarkeitskontrollmechanismen vollständig.

Betroffene Systeme

• Product Configurator for WooCommerce Plugin Versionen < 1.7.3
• WordPress-Installationen mit aktivem Plugin
• WooCommerce E-Commerce Systeme

Technische Details

Die Vulnerability liegt in einem öffentlich zugänglichen AJAX-Action-Handler vor. Dieser führt keine Authentifizierungs- oder Post-Status-Überprüfungen durch, bevor WooCommerce-Produktdaten zurückgegeben werden. Ein Angreifer kann durch die bloße Angabe einer Produkt-ID folgende Informationen auslesen:

• Produkttitel
• Preisangaben
• Gewichtsdaten
• Bestandsstatus
• Configurator-Optionspreisgestaltung und SKUs

Diese Informationen sind normalerweise durch WordPress-Post-Sichtbarkeitskontrollmechanismen geschützt. Der fehlende Authorization-Check ermöglicht es, diese Schutzmaßnahmen zu umgehen.

Empfohlene Massnahmen

1. Sofort aktualisieren: Plugin auf Version 1.7.3 oder höher upgraden
2. Netzwerk-Monitoring: AJAX-Anfragen zur betroffenen Action überwachen
3. Access-Logs prüfen: Auf verdächtige Zugriffsmuster untersuchen
4. Datenlecks bewerten: Überprüfung, ob sensible Produktdaten offengelegt wurden
5. Backup erstellen: Vor dem Update durchführen

Bewertung

Die hohe Kritikalität resultiert aus der unauthentizierten Zugriffsmöglichkeit auf vertrauliche Geschäftsdaten. Da kein Patch verfügbar ist und das Plugin in der aktuellen Version vulnerabel bleibt, stellt dies ein erhebliches Risiko dar. Ein Update auf Version 1.7.3 wird dringend empfohlen.

„`