„`html
Zusammenfassung
Das WCPOS – Point of Sale (POS) Plugin für WooCommerce enthält eine kritische Code-Injection-Schwachstelle in der Template Engine. Die Vulnerability betrifft alle Versionen bis einschließlich 1.9.14 und ermöglicht authentifizierten Angreifern mit Shop Manager-Berechtigung die Remote Code Execution (RCE) durch Einschleusung von PHP-Code in Template-Dateien.
Betroffene Systeme
Plugin: WCPOS – Point of Sale for WooCommerce
Betroffene Versionen: bis 1.9.14
Plattform: WordPress mit WooCommerce
CVE-ID: CVE-2026-17581
CVSS-Score: 7.2 (High)
Technische Details
Die Vulnerability liegt in der Receipt_Renderer_Factory-Komponente. Diese leitet Templates mit dem ‚thermal‘ Engine-Parameter fehlerhaft an die Legacy_Php_Renderer-Klasse weiter, statt sie an einen sicheren, thermal-spezifischen Renderer zu übergeben.
Der Angriffsablauf:
- Angreifer mit Shop Manager-Privileg speichert einen manipulierten Template-Post
- Die Template enthält eingeschleuste PHP-Code in der ‚thermal‘ Engine
- System schreibt Template in temporäre Datei
- PHP include() lädt und führt den Code aus
- Remote Code Execution mit WordPress-Prozess-Privileg
Die nonce-Validierung (wcpos_template_settings) und Capability-Checks schützen nur vor Fremdzugriff, nicht vor privilegierten Insidern.
Empfohlene Massnahmen
- Sofortmassnahme: Plugin-Updates verfügbar? Überprüfen Sie regelmäßig auf Patches
- Zugriffskontrolle: Limitieren Sie Shop Manager-Rollen auf vertrauenswürdige Benutzer
- Code-Review: Prüfen Sie bestehende Template-Posts auf verdächtigen PHP-Code
- Monitoring: Überwachen Sie Plugin-Aktivitäten und Dateiänderungen
- Web Application Firewall: Implementieren Sie WAF-Regeln gegen Code-Injection
Bewertung
Die Schwachstelle stellt ein erhebliches Risiko dar, da RCE möglich ist. Da jedoch Shop Manager-Zugriff erforderlich ist, liegt die praktische Bedrohung bei kompromittierten Admin-Accounts. Priorisieren Sie Patch-Management und Access Control.
„`