„`html
Zusammenfassung
Die SicherheitslĂĽcke CVE-2026-32477 betrifft das WordPress-Plugin „ShopBuilder Pro – Elementor WooCommerce Builder Addons“ in Versionen bis einschlieĂźlich 2.2.0. Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, beliebige Dateien vom Server zu löschen. Mit einem CVSS-Wert von 8.6 wird diese LĂĽcke als „High“ bewertet und stellt eine erhebliche Bedrohung dar.
Betroffene Systeme
Betroffen sind WordPress-Installationen mit dem Plugin ShopBuilder Pro – Elementor WooCommerce Builder Addons in den Versionen 2.2.0 und älter. Besonders gefährdet sind E-Commerce-Plattformen, die dieses Plugin für die Shop-Verwaltung und WooCommerce-Integration einsetzen. Die Sicherheitslücke kann von außen über das Netzwerk ausgenutzt werden, ohne dass eine vorherige Authentifizierung erforderlich ist.
Technische Details
Die Schwachstelle basiert auf unzureichender Eingabevalidierung und fehlenden Zugriffskontrollmechanismen. Das Plugin verarbeitet Dateilösch-Anfragen ohne ausreichende Überprüfung der Benutzeridentität oder Autorisierung. Angreifer können durch gezielt konstruierte HTTP-Anfragen auf sensible Dateisystem-Operationen zugreifen und kritische Dateien der WordPress-Installation oder Plugin-Daten löschen. Dies kann zu Datenverlust, Website-Ausfällen oder Kompromittierung der Systemintegrität führen.
Empfohlene Massnahmen
- Sofortiges Deaktivieren und Löschen des betroffenen Plugins bis zur Verfügbarkeit eines Security-Patches
- Überprüfung der Server-Logs auf verdächtige Dateilösch-Aktivitäten
- Regelmäßige Datensicherungen durchführen und deren Wiederherstellbarkeit testen
- Einsatz einer Web Application Firewall (WAF) zur Filterung verdächtiger Anfragen
- Ăśberwachung des Plugin-Repositories auf Sicherheitsupdates
Bewertung
Mit dem CVSS-Wert 8.6 und dem „Network“-Angriffsvektor stellt diese LĂĽcke eine unmittelbare Bedrohung dar. Die fehlende Patch-VerfĂĽgbarkeit erhöht die Risiken zusätzlich. Betroffene Betreiber sollten umgehend handeln und alternative Lösungen evaluieren.
„`