CVE-2026-122041: Unbefugtes Löschen von Anhängen in WooCommerce-Plugin
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.CVE-2026-122041 betrifft das WordPress-Plugin Checkout Field Editor for WooCommerce (Pro) von Themehigh bis einschließlich Version 3.8.0. Die Schwachstelle ermöglicht nicht angemeldeten Angreifern das Löschen beliebiger Medienanhänge. Laut Wordfence bewertet die CNA die Schwachstelle mit einem CVSS-Score von 9.1.
Themehigh stellte Version 3.8.1 als fehlerbereinigte Version am 3. November 2026 bereit. Betroffene Installationen sollten ihren Patchstatus prüfen und aktualisieren.
Die Ursache liegt in der Funktion ajax_remove_uploaded. Diese verarbeitet Anfragen zum Löschen hochgeladener Dateien, ohne eine Berechtigungs- oder Eigentumsprüfung für den angeforderten Anhang durchzuführen.
Der betroffene Handler ist für angemeldete und nicht angemeldete Zugriffe registriert. Als Schutzmechanismus dient der Nonce-Wert file_handling_nonce. Dieser Wert wird im öffentlichen Checkout-Markup ausgegeben, wenn ein Datei-Upload-Feld im Checkout konfiguriert ist.
Dadurch können nicht angemeldete Angreifer eine präparierte Anfrage mit einer Attachment-ID senden. Die Schwachstelle kann das Löschen von Anhängen ermöglichen, die anderen Nutzern oder Beiträgen zugeordnet sind. Laut Wordfence kann dies zu Datenverlust und einer Beeinträchtigung der Verfügbarkeit führen.
Der CVSS-Vektor zeigt, dass die Schwachstelle keine Vertraulichkeit gefährdet (C:N) — Daten sind nicht abgreifbar. Die hohen Werte für Integrität und Verfügbarkeit (I:H/A:H) spiegeln wider, dass Anhänge unwiederbringlich gelöscht und Checkout-Prozesse gestört werden können.
Wordfence führt für CVE-2026-122041 keine aktive Ausnutzung auf. Die fehlende Meldung einer aktiven Ausnutzung ändert nichts an der Priorität für betroffene Shop-Installationen: Die Schwachstelle ist über den öffentlich erreichbaren Checkout relevant, sofern ein Datei-Upload-Feld konfiguriert ist.
Maßnahmen für betroffene Shop-Installationen
Die Patchprüfung und Aktualisierung haben Vorrang. Für Installationen bis einschließlich Version 3.8.0 gelten folgende Schritte:
Die eingesetzte Plugin-Version mit dem betroffenen Versionsbereich abgleichen.
Das Plugin auf Version 3.8.1 oder höher aktualisieren.
Betroffene Systeme priorisieren und mitigieren.
Datei-Upload-Checkout-Felder deaktivieren, wenn ein sofortiges Update nicht möglich ist.
Kontinuierliches Schwachstellen- und Vendor-Risk-Monitoring für eingesetzte Komponenten etablieren.
Die temporäre Deaktivierung von Datei-Upload-Checkout-Feldern begrenzt die öffentliche Verfügbarkeit des relevanten Nonce-Werts. Sie ist eine kurzfristige Maßnahme und ersetzt keine Aktualisierung auf die fehlerbereinigte Version.
WooCommerce-Betreiber in der EU, insbesondere in Deutschland und Österreich, sollten prüfen, ob ein durch die Schwachstelle verursachter Datenverlust oder eine Verfügbarkeitsbeeinträchtigung personenbezogene Daten betrifft. In diesem Fall kann eine Meldepflicht nach Art. 33 DSGVO (72-Stunden-Frist gegenüber der zuständigen Datenschutzbehörde) einschlägig sein. Für NIS-2-pflichtige Anbieter digitaler Dienste in Deutschland und Österreich gelten zusätzliche Meldeanforderungen bei erheblichen Sicherheitsvorfällen; in der Schweiz regelt das revidierte Informationssicherheitsgesetz (ISG) entsprechende Meldepflichten gegenüber dem BACS.
Sichtbarkeit öffentlich erreichbarer Shop-Komponenten mit LocateRisk
CVE-2026-122041 zeigt, warum die Sichtbarkeit öffentlich erreichbarer Shop-Komponenten für die technische Priorisierung relevant ist. Das betroffene Plugin wird unter der Kundendomain eingesetzt und ist über den öffentlichen Checkout-Endpunkt erreichbar.
LocateRisk kann WooCommerce-Instanzen unter Kundendomains sowie exponierte WordPress-Plugins identifizieren. Dadurch lassen sich öffentlich erreichbare Shop-Instanzen für eine Patch- und Betroffenheitsprüfung erfassen. Die Sichtbarkeit eingesetzter Software belegt jedoch nicht zwangsläufig die konkret verwundbare Plugin-Version. Die Versions- und Patchprüfung bleibt erforderlich.
Für Organisationen mit mehreren Webauftritten, Shops oder extern betriebenen Komponenten unterstützt diese Sichtbarkeit die Einordnung, welche öffentlich erreichbaren Systeme im Zusammenhang mit einer bekannten Schwachstelle geprüft werden sollten. LocateRisk ist Made in Germany, wird ausschließlich in deutschen Rechenzentren betrieben und wurde nach DSGVO-Anforderungen konzipiert.
Bin ich betroffen?
Betroffen ist Checkout Field Editor for WooCommerce in den oben genannten Versionen; behoben wurde die Schwachstelle in 3.8.1. Wer wissen will, ob Checkout Field Editor for WooCommerce in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
CVE-2026-122041 erlaubt nicht angemeldeten Angreifern, beliebige Medienanhänge in einer betroffenen WordPress-Installation zu löschen — einschließlich Anhängen, die anderen Nutzern oder Beiträgen zugeordnet sind. Dies kann zu Datenverlust und einer Beeinträchtigung des Checkout-Betriebs führen. Vertrauliche Daten sind durch diese Schwachstelle nicht abgreifbar.
Betroffen sind alle Versionen des Plugins Checkout Field Editor for WooCommerce (Pro) bis einschließlich Version 3.8.0. Themehigh hat Version 3.8.1 am 3. November 2026 als fehlerbereinigte Version bereitgestellt.
Die empfohlene Maßnahme ist die sofortige Aktualisierung auf Version 3.8.1 oder höher. Als kurzfristige Übergangslösung kann das Datei-Upload-Checkout-Feld deaktiviert werden, da dadurch der relevante Nonce-Wert nicht mehr im öffentlichen Checkout-Markup ausgegeben wird. Diese Maßnahme ersetzt die Aktualisierung nicht.
Stand: 07.11.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Erste Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-122041
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français