CVE-2026-109516: Kontoübernahme über WooCommerce-Plugin
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.CVE-2026-109516 betrifft das WordPress-Plugin Bot for Telegram on WooCommerce von guruteam. Die Schwachstelle ermöglicht unauthentifizierten Angreifern die Übernahme vorhandener WordPress-Konten. Betroffen sind alle Versionen bis einschließlich 1.3.0.
Laut Wordfence Intelligence wird die Schwachstelle mit einem CVSS-Score von 9.8 bewertet. Der veröffentlichte CVSS-String weist Netzwerkzugriff, geringe Angriffskomplexität sowie fehlende erforderliche Privilegien und Nutzerinteraktion aus.
Angriff über einen öffentlich erreichbaren REST-Endpunkt
Der dokumentierte Angriffspfad beginnt am REST-Endpunkt /wp-json/woo-telegram/v1/main/. Für diesen Endpunkt ist eine Berechtigungsprüfung registriert, die Anfragen zulässt. Außerdem erfolgt keine Prüfung einer Telegram-Webhook-Signatur.
Dadurch kann eine nicht authentifizierte Anfrage eine manipulierte Bot-Aktualisierung übermitteln. Die enthaltene Kennung kann als WordPress-Anmeldename aufgelöst werden. Das Plugin erzeugt anschließend einen Anmelde-Token.
Dieser Token kann über einen weiteren nicht authentifizierten Endpunkt verwendet werden. Dort wird eine WordPress-Anmeldesitzung für das aufgelöste Konto gesetzt. Nach der technischen Dokumentation kann dies jedes WordPress-Konto betreffen, wenn dessen Benutzername bekannt ist, einschließlich administrativer Konten.
Nach aktuellem Stand liegen keine Belege für eine aktive Ausnutzung in freier Wildbahn vor (Stand: 2026-10-29).
Betroffenheit und unmittelbare Maßnahmen
Organisationen sollten prüfen, ob das Plugin Bot for Telegram on WooCommerce auf WordPress-Instanzen eingesetzt wird und ob die verwendete Version in den betroffenen Bereich fällt.
Zum Stand 2026-10-29 ist kein gepatchtes Release verfügbar. Plugin-Deaktivierung bleibt daher die primäre Mitigationsmaßnahme. Als weitere Übergangsmaßnahmen sind in der vorliegenden Handlungsempfehlung genannt:
Plugin deaktivieren.
Den REST-Endpunkt /wp-json/woo-telegram/v1/main/ auf Netzwerkebene blockieren.
WordPress-Audit-Logs auf nicht authentifizierte POST-Anfragen an /wp-json/woo-telegram/v1/main/ prüfen.
Audit-Logs auf GET-Anfragen mit dem Parameter bftow_token prüfen.
Betroffene Systeme priorisieren und mitigieren.
Sobald ein fehlerbereinigtes Release veröffentlicht wird, sollte auf eine gepatchte Version aktualisiert werden.
Relevanz für extern erreichbare WordPress-Instanzen
Das Plugin wird unter der Domain einer Organisation betrieben und stellt den betroffenen REST-Endpunkt nach außen bereit. Extern erreichbare WordPress-Instanzen, Plugin-Signaturen und die Existenz des Endpunkts können für die Bewertung betroffener Assets relevant sein.
Für die Priorisierung ist neben dem Plugin-Einsatz auch die externe Erreichbarkeit der Instanz relevant. Besonders schutzbedürftig sind Systeme, auf denen administrative WordPress-Konten vorhanden sind, weil die dokumentierte Schwachstelle eine Anmeldung als vorhandener Benutzer ermöglichen kann.
Organisationen in Deutschland, die unter NIS-2 oder KRITIS-Pflichten fallen, sollten bei einer festgestellten Ausnutzung eine Meldepflicht nach Art. 33 DSGVO (72-Stunden-Frist) prüfen. Österreichische Betreiber prüfen entsprechende Pflichten nach dem NISG; Schweizer Organisationen orientieren sich an den Meldepflichten nach dem revidierten ISG gegenüber dem BACS.
Externe Asset-Sichtbarkeit für die Priorisierung
LocateRisk unterstützt die Sichtbarkeit extern erreichbarer Systeme und eingesetzter Software. Bei dieser Schwachstelle kann die externe Erfassung von WordPress-Instanzen und Plugin-Signaturen dazu beitragen, potenziell betroffene Assets für die weitere technische Prüfung einzuordnen.
Die Plattform macht Exponierung und eingesetzte Software sichtbar – einschließlich nicht aktiv verwalteter oder vergessener Instanzen, die im regulären Asset-Inventar möglicherweise nicht erfasst sind. Die konkrete Prüfung des Patchstands und die Bewertung einer möglichen Betroffenheit bleiben erforderlich.
Bin ich betroffen?
Betroffen ist Bot for Telegram on WooCommerce in den oben genannten Versionen. Wer wissen will, ob Bot for Telegram on WooCommerce in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
Die Schwachstelle erlaubt es nicht authentifizierten Angreifern, sich als beliebiger WordPress-Benutzer anzumelden – einschließlich administrativer Konten –, sofern der jeweilige Benutzername bekannt ist. Dazu wird ein öffentlich erreichbarer REST-Endpunkt des Plugins missbraucht, der weder eine Zugriffsprüfung noch eine Webhook-Signatur-Validierung durchführt.
Betroffen sind alle Versionen des Plugins Bot for Telegram on WooCommerce bis einschließlich 1.3.0. Zum Stand 2026-10-29 ist kein gepatchtes Release verfügbar. Bis zur Veröffentlichung eines fehlerbereinigten Releases wird die Deaktivierung des Plugins empfohlen.
Als unmittelbare Maßnahmen empfehlen sich die Deaktivierung des Plugins sowie die Blockierung des Endpunkts /wp-json/woo-telegram/v1/main/ auf Netzwerkebene. Zusätzlich sollten Audit-Logs auf nicht authentifizierte POST-Anfragen an diesen Endpunkt sowie auf GET-Anfragen mit dem Parameter bftow_token geprüft werden.
Stand: 29.10.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Erste Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-109516
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français