WordPress WooCommerce-Plugins: mehrere kritische Sicherheitslücken (CVE-2026-15014, CVE-2025-10656)
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Update 29.07.2026: Zusätzlich wurde CVE-2025-10656 (CVSS 9.8) im Plugin „Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light“ bekannt. Die Schwachstelle ermöglicht unauthentifizierten Angreifern aufgrund fehlender Autorisierungsprüfungen unbefugten Zugriff auf administrative Funktionen. Details siehe unten.
Am 28. Juli 2026 wurde eine kritische Schwachstelle im WordPress-Plugin „SMS Alert“ mit einem CVSS-Score von 9.8 veröffentlicht. Die Lücke, katalogisiert als CVE-2026-15014 (laut Wordfence CNA), ermöglicht einen Authentifizierungs-Bypass, der zu einer vollständigen Kontoübernahme (Account Takeover) führen kann. Betroffen sind E-Commerce-Websites, die das Plugin in Verbindung mit WooCommerce für SMS-Benachrichtigungen und die Verifizierung per Einmalpasswort (OTP) nutzen. Angreifer benötigen keinen vorherigen Zugang zum System und können die Schwachstelle aus der Ferne ausnutzen.
CVSS-Scores:9.8 (Kritisch) für beide Schwachstellen
Betroffene Software:
WordPress Plugin „SMS Alert – SMS & OTP for WooCommerce, Order Notifications & Abandoned Cart Recovery“ in allen Versionen bis einschließlich 3.9.7 (CVE-2026-15014)
WordPress Plugin „Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light“ in allen Versionen bis einschließlich 2.4.37 (CVE-2025-10656)
Patch-Status: Zum Zeitpunkt dieser Veröffentlichung (Stand: 2026-07-28/29) sind keine offiziellen Patches für CVE-2026-15014 und CVE-2025-10656 bestätigt. Prüfen Sie den WordPress Plugin Directory regelmäßig auf neue Versionen.
Die Ursache von CVE-2026-15014 liegt in einem logischen Fehler innerhalb des Registrierungsprozesses, der die OTP-Verifizierung per SMS handhabt. Ein Angreifer kann diesen Fehler ausnutzen, um sich als ein beliebiger Benutzer anzumelden, dessen Telefonnummer bekannt ist oder erraten werden kann.
Der Angriff erfolgt in zwei Schritten:
Der Angreifer startet den Registrierungsprozess mit einer eigenen, kontrollierten Telefonnummer und schließt die OTP-Verifizierung erfolgreich ab. Das Plugin setzt daraufhin eine Session-Variable ($_SESSION[’sa_mobile_verified‘]) auf true, um die erfolgreiche Prüfung zu vermerken.
Der entscheidende Fehler besteht darin, dass dieser true-Status nicht an die spezifische Telefonnummer gebunden ist. Der Angreifer kann nun den Registrierungsvorgang erneut anstoßen, diesmal jedoch mit der Telefonnummer eines Opfers im Parameter billing_phone. Da die Session-Variable bereits gesetzt ist, überspringt die fehlerhafte Logik eine erneute OTP-Prüfung und stellt ein Authentifizierungs-Cookie für das Konto des Opfers aus.
Dieser Vorgang ermöglicht es dem Angreifer, die vollständige Kontrolle über das Benutzerkonto zu erlangen, ohne jemals Zugriff auf das Telefon des Opfers gehabt zu haben.
Bemerkenswert ist, dass bereits rund einen Monat zuvor (publiziert: 2026-07-01) eine strukturell verwandte Schwachstelle im selben Plugin veröffentlicht wurde: CVE-2026-11387 betraf Versionen bis einschließlich 3.9.5 und ermöglichte ebenfalls eine unauthentifizierte Kontoübernahme, dort über einen fehlerhaften Passwort-Reset-Mechanismus. Dies unterstreicht, wie wichtig ein kontinuierliches Monitoring von Drittanbieter-Plugins als Teil eines strukturierten Vendor-Risk-Managements ist.
CVE-2025-10656 betrifft das WordPress-Plugin „Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light“ in allen Versionen bis einschließlich 2.4.37. Die Schwachstelle wird als Missing Authorization (fehlende Autorisierung) klassifiziert und erhält ebenfalls einen CVSS-Score von 9.8 (kritisch).
Die Lücke liegt in der user_filter-Funktion des Plugins. Aufgrund fehlender oder unzureichender Berechtigungsprüfungen können unauthentifizierte Angreifer administrative Funktionen des Plugins aufrufen und ausführen. Dies ermöglicht potenziell die Manipulation von Produktpreisen, den Zugriff auf sensible Konfigurationsdaten oder andere privilegierte Operationen, die normalerweise nur authentifizierten Administratoren vorbehalten sein sollten.
Der Angriffsvektor ist netzwerkbasiert (AV:N), erfordert keine Benutzerinteraktion (UI:N) und keine vorherigen Privilegien (PR:N), was die Ausnutzung besonders einfach macht. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden jeweils als hoch (C:H/I:H/A:H) eingestuft.
Empfohlene Maßnahmen
Unternehmen, die eines der betroffenen Plugins einsetzen, sollten umgehend handeln, um eine Ausnutzung der Schwachstellen zu verhindern.
Sofortmaßnahmen:
Plugin-Status prüfen: Zum Zeitpunkt dieser Veröffentlichung sind keine offiziellen Patches für CVE-2026-15014 und CVE-2025-10656 bekannt. Prüfen Sie den WordPress Plugin Directory auf neu veröffentlichte Versionen und installieren Sie diese umgehend, sobald Updates verfügbar sind.
Workaround für CVE-2026-15014: Deaktivieren Sie vorübergehend die OTP-basierte Registrierungsfunktion in den WooCommerce-Einstellungen, bis ein offizieller Patch verfügbar ist und eingespielt werden kann.
Workaround für CVE-2025-10656: Deaktivieren Sie das Plugin „Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light“ vollständig, bis ein Sicherheitsupdate verfügbar ist. Prüfen Sie alternative Lösungen für die Preisverwaltung.
Kurzfristige Maßnahmen:
Systemprüfung: Identifizieren und priorisieren Sie alle Systeme, auf denen die verwundbaren Plugins installiert sind.
Log-Analyse: Überprüfen Sie die Server- und Anwendungs-Logs auf verdächtige Aktivitäten:
Für CVE-2026-15014: Registrierungsversuche mit manipulierten billing_phone-Parametern
Für CVE-2025-10656: Ungewöhnliche Zugriffe auf die user_filter-Funktion oder administrative Endpunkte ohne entsprechende Authentifizierung
Langfristige Maßnahmen:
Kontinuierliches Monitoring: Etablieren Sie Prozesse für ein kontinuierliches Schwachstellen- und Lieferantenrisikomanagement (Vendor Risk Management), um Risiken durch Drittanbieter-Software systematisch zu erkennen und zu bewerten.
DACH-Relevanz und regulatorische Einordnung
Für Unternehmen im DACH-Raum, die WooCommerce-Shops mit Kundendaten betreiben, kann eine erfolgreiche Ausnutzung dieser Schwachstellen eine meldepflichtige Datenpanne gemäß Art. 33 DSGVO darstellen — die zuständige Aufsichtsbehörde ist in der Regel innerhalb von 72 Stunden zu informieren, sofern ein Risiko für die Rechte und Freiheiten betroffener Personen besteht. NIS-2-pflichtige Unternehmen sollten zudem prüfen, ob die Plugins im Rahmen ihres verpflichtenden Schwachstellenmanagements erfasst und bewertet sind. Das BSI empfiehlt generell, Drittanbieter-Komponenten wie WordPress-Plugins in das unternehmenseigene Asset-Inventar aufzunehmen und deren Patch-Status kontinuierlich zu überwachen.
Einordnung durch External Attack Surface Management (EASM)
Schwachstellen in extern erreichbaren Komponenten wie WordPress-Plugins stellen ein erhebliches Risiko dar, da sie oft unbemerkt bleiben — insbesondere in komplexen IT-Landschaften oder wenn sie Teil von Schatten-IT sind: Plugins, die von einzelnen Teams oder Fachabteilungen eigenständig installiert wurden, erscheinen häufig nicht im zentralen Asset-Inventar und entziehen sich damit dem regulären Patch-Management.
Eine Plattform für External Attack Surface Management (EASM) wie LocateRisk hilft Unternehmen, die notwendige Transparenz über ihre externen Systeme zu erhalten. Durch kontinuierliches Scannen der Angriffsfläche werden eingesetzte Technologien und Softwarekomponenten — wie das „SMS Alert“-Plugin oder das „Spreadsheet Price Changer“-Plugin — automatisch identifiziert, auch wenn sie nicht zentral dokumentiert sind. Sicherheitsteams erhalten so ein belastbares Inventar aller extern exponierten Assets und können bei Bekanntwerden von Schwachstellen wie CVE-2026-15014 oder CVE-2025-10656 unmittelbar ermitteln, welche Systeme betroffen sind. Gleichzeitig ermöglicht die laufende Überwachung, Konfigurationsdrift und neu entstehende Expositionen frühzeitig zu erkennen, bevor sie aktiv ausgenutzt werden.
Die Lösung von LocateRisk wird in zertifizierten deutschen Rechenzentren gehostet und unterstützt die Einhaltung von DSGVO-Anforderungen, was zur digitalen Souveränität von Unternehmen beiträgt.
CVE-2026-15014 ist eine kritische Sicherheitslücke (CVSS 9.8) im WordPress-Plugin „SMS Alert – SMS & OTP for WooCommerce, Order Notifications & Abandoned Cart Recovery“. Sie ermöglicht unauthentifizierten Angreifern, den OTP-Verifizierungsprozess zu umgehen und vollständige Kontrolle über beliebige Nutzerkonten zu erlangen, einschließlich Administrator-Konten.
CVE-2025-10656 ist eine kritische Sicherheitslücke (CVSS 9.8) im WordPress-Plugin „Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light“. Die Schwachstelle beruht auf fehlenden Autorisierungsprüfungen in der user_filter-Funktion und ermöglicht unauthentifizierten Angreifern den Zugriff auf administrative Funktionen des Plugins.
Für CVE-2026-15014 sind alle Versionen des „SMS Alert“-Plugins bis einschließlich Version 3.9.7 betroffen. Für CVE-2025-10656 sind alle Versionen des „Spreadsheet Price Changer“-Plugins bis einschließlich Version 2.4.37 betroffen. Zum Zeitpunkt der Veröffentlichung dieser Analyse (Stand: 2026-07-28/29) sind keine offiziellen Patches bekannt. Prüfen Sie den WordPress Plugin Directory regelmäßig auf verfügbare Updates.
Für CVE-2026-15014 empfiehlt sich als unmittelbarer Workaround die Deaktivierung der OTP-basierten Registrierungsfunktion in den WooCommerce-Einstellungen. Für CVE-2025-10656 sollte das betroffene Plugin vollständig deaktiviert werden. Darüber hinaus sollten Server- und Anwendungs-Logs auf verdächtige Aktivitäten geprüft werden.
CVE-2026-11387 (publiziert 2026-07-01) betraf Versionen bis einschließlich 3.9.5 und nutzte einen fehlerhaften Passwort-Reset-Mechanismus. CVE-2026-15014 betrifft Versionen bis einschließlich 3.9.7 und beschreibt einen anderen Angriffsweg über die processRegistration()-Funktion und den billing_phone-Parameter. Beide Schwachstellen ermöglichen eine vollständige Kontoübernahme ohne vorherige Authentifizierung.
Stand: 29.07.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2024-3094
Passive Bewertung
Hinweise zur CVEHinweise gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français