WordPress WooCommerce-Plugins: mehrere kritische Sicherheitslücken (CVE-2026-15014, CVE-2026-8457, CVE-2025-10656)
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Update 29.07.2026: Zusätzlich wurde CVE-2025-10656 (CVSS 9.8) im Plugin „Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light“ bekannt. Die Schwachstelle ermöglicht unauthentifizierten Angreifern aufgrund fehlender Autorisierungsprüfungen unbefugten Zugriff auf administrative Funktionen. Details siehe unten.
Update 30.07.2026: Zusätzlich wurde CVE-2026-3141 (CVSS 9.1) im Plugin „FormGent – Next-Gen AI Form Builder for WordPress“ bekannt. Die Schwachstelle ermöglicht unauthentifizierten Angreifern aufgrund fehlender Berechtigungsprüfungen die Löschung beliebiger Dateien auf dem Server. Ein Patch ist in Version 1.10.0 verfügbar. Details siehe unten.
Update 31.07.2026: Zusätzlich wurde CVE-2026-8457 (CVSS 9.8) im Plugin „WooCommerce – Social Login“ bekannt. Die Schwachstelle ermöglicht einen Authentifizierungs-Bypass in allen Versionen bis einschließlich 2.8.7. Details siehe unten.
Am 28. Juli 2026 wurde eine kritische Schwachstelle im WordPress-Plugin „SMS Alert“ mit einem CVSS-Score von 9.8 veröffentlicht. Die Lücke, katalogisiert als CVE-2026-15014 (laut Wordfence CNA), ermöglicht einen Authentifizierungs-Bypass, der zu einer vollständigen Kontoübernahme (Account Takeover) führen kann. Betroffen sind E-Commerce-Websites, die das Plugin in Verbindung mit WooCommerce für SMS-Benachrichtigungen und die Verifizierung per Einmalpasswort (OTP) nutzen. Angreifer benötigen keinen vorherigen Zugang zum System und können die Schwachstelle aus der Ferne ausnutzen.
CVSS-Scores:9.8 (Kritisch) für CVE-2026-15014, CVE-2026-8457 und CVE-2025-10656, 9.1 (Kritisch) für CVE-2026-3141
Betroffene Software:
WordPress Plugin „SMS Alert – SMS & OTP for WooCommerce, Order Notifications & Abandoned Cart Recovery“ in allen Versionen bis einschließlich 3.9.7 (CVE-2026-15014)
WordPress Plugin „WooCommerce – Social Login“ in allen Versionen bis einschließlich 2.8.7 (CVE-2026-8457)
WordPress Plugin „Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light“ in allen Versionen bis einschließlich 2.4.37 (CVE-2025-10656)
WordPress Plugin „FormGent – Next-Gen AI Form Builder for WordPress“ in allen Versionen bis einschließlich 1.9.2 (CVE-2026-3141)
Patch-Status:
CVE-2026-15014: Zum Zeitpunkt dieser Veröffentlichung (Stand: 2026-07-28) ist kein offizieller Patch bestätigt.
CVE-2026-8457: Zum Zeitpunkt dieser Veröffentlichung (Stand: 2026-07-31) ist kein offizieller Patch bestätigt.
CVE-2025-10656: Zum Zeitpunkt dieser Veröffentlichung (Stand: 2026-07-29) ist kein offizieller Patch bestätigt.
CVE-2026-3141: Patch verfügbar in Version 1.10.0 (Stand: 2026-07-30).
Die Ursache von CVE-2026-15014 liegt in einem logischen Fehler innerhalb des Registrierungsprozesses, der die OTP-Verifizierung per SMS handhabt. Ein Angreifer kann diesen Fehler ausnutzen, um sich als ein beliebiger Benutzer anzumelden, dessen Telefonnummer bekannt ist oder erraten werden kann.
Der Angriff erfolgt in zwei Schritten:
Der Angreifer startet den Registrierungsprozess mit einer eigenen, kontrollierten Telefonnummer und schließt die OTP-Verifizierung erfolgreich ab. Das Plugin setzt daraufhin eine Session-Variable ($_SESSION[’sa_mobile_verified‘]) auf true, um die erfolgreiche Prüfung zu vermerken.
Der entscheidende Fehler besteht darin, dass dieser true-Status nicht an die spezifische Telefonnummer gebunden ist. Der Angreifer kann nun den Registrierungsvorgang erneut anstoßen, diesmal jedoch mit der Telefonnummer eines Opfers im Parameter billing_phone. Da die Session-Variable bereits gesetzt ist, überspringt die fehlerhafte Logik eine erneute OTP-Prüfung und stellt ein Authentifizierungs-Cookie für das Konto des Opfers aus.
Dieser Vorgang ermöglicht es dem Angreifer, die vollständige Kontrolle über das Benutzerkonto zu erlangen, ohne jemals Zugriff auf das Telefon des Opfers gehabt zu haben.
Bemerkenswert ist, dass bereits rund einen Monat zuvor (publiziert: 2026-07-01) eine strukturell verwandte Schwachstelle im selben Plugin veröffentlicht wurde: CVE-2026-11387 betraf Versionen bis einschließlich 3.9.5 und ermöglichte ebenfalls eine unauthentifizierte Kontoübernahme, dort über einen fehlerhaften Passwort-Reset-Mechanismus. Dies unterstreicht, wie wichtig ein kontinuierliches Monitoring von Drittanbieter-Plugins als Teil eines strukturierten Vendor-Risk-Managements ist.
Technischer Hintergrund: CVE-2026-8457 (WooCommerce – Social Login)
CVE-2026-8457 betrifft das WordPress-Plugin „WooCommerce – Social Login“ in allen Versionen bis einschließlich 2.8.7. Die Schwachstelle wird als Authentication Bypass (Authentifizierungs-Bypass) klassifiziert und erhält einen CVSS-Score von 9.8 (kritisch).
Die Lücke ermöglicht es unauthentifizierten Angreifern, die Authentifizierungsmechanismen des Plugins zu umgehen und sich ohne gültige Anmeldedaten Zugang zu Benutzerkonten zu verschaffen. Der Angriffsvektor ist netzwerkbasiert (AV:N), erfordert keine Benutzerinteraktion (UI:N) und keine vorherigen Privilegien (PR:N), was die Ausnutzung besonders einfach macht. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden jeweils als hoch (C:H/I:H/A:H) eingestuft.
Zum Zeitpunkt dieser Veröffentlichung (Stand: 2026-07-31) ist kein offizieller Patch verfügbar. Betreiber sollten das Plugin vorübergehend deaktivieren, bis ein Sicherheitsupdate bereitgestellt wird.
CVE-2025-10656 betrifft das WordPress-Plugin „Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light“ in allen Versionen bis einschließlich 2.4.37. Die Schwachstelle wird als Missing Authorization (fehlende Autorisierung) klassifiziert und erhält ebenfalls einen CVSS-Score von 9.8 (kritisch).
Die Lücke liegt in der user_filter-Funktion des Plugins. Aufgrund fehlender oder unzureichender Berechtigungsprüfungen können unauthentifizierte Angreifer administrative Funktionen des Plugins aufrufen und ausführen. Dies ermöglicht potenziell die Manipulation von Produktpreisen, den Zugriff auf sensible Konfigurationsdaten oder andere privilegierte Operationen, die normalerweise nur authentifizierten Administratoren vorbehalten sein sollten.
Der Angriffsvektor ist netzwerkbasiert (AV:N), erfordert keine Benutzerinteraktion (UI:N) und keine vorherigen Privilegien (PR:N), was die Ausnutzung besonders einfach macht. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden jeweils als hoch (C:H/I:H/A:H) eingestuft.
Technischer Hintergrund: CVE-2026-3141 (FormGent)
CVE-2026-3141 betrifft das WordPress-Plugin „FormGent – Next-Gen AI Form Builder for WordPress“ in allen Versionen bis einschließlich 1.9.2. Die Schwachstelle wird mit einem CVSS-Score von 9.1 (kritisch) bewertet und ermöglicht die unbefugte Löschung beliebiger Dateien auf dem Server.
Die Ursache liegt in einer fehlenden Berechtigungsprüfung (Missing Capability Check) am REST-API-Endpunkt /wp-json/formgent/responses/attachments. Dieser Endpunkt sollte nur für authentifizierte Benutzer mit entsprechenden Rechten zugänglich sein, ist jedoch ohne jegliche Autorisierungsprüfung implementiert. Unauthentifizierte Angreifer können diesen Endpunkt direkt ansprechen und durch gezielte Anfragen beliebige Dateien vom Server löschen.
Der Angriffsvektor ist netzwerkbasiert (AV:N), erfordert keine Benutzerinteraktion (UI:N) und keine vorherigen Privilegien (PR:N). Die Auswirkungen auf Integrität und Verfügbarkeit werden als hoch eingestuft (I:H/A:H), während die Vertraulichkeit nicht direkt betroffen ist (C:N). Ein erfolgreicher Angriff kann zur Löschung kritischer Systemdateien, Konfigurationsdateien oder Benutzerdaten führen und damit die Funktionsfähigkeit der WordPress-Installation erheblich beeinträchtigen.
Für CVE-2026-3141 ist seit Version 1.10.0 ein offizieller Patch verfügbar. Betreiber sollten umgehend auf diese Version aktualisieren.
Empfohlene Maßnahmen
Unternehmen, die eines der betroffenen Plugins einsetzen, sollten umgehend handeln, um eine Ausnutzung der Schwachstellen zu verhindern.
Sofortmaßnahmen:
Plugin-Status prüfen:
Für CVE-2026-15014, CVE-2026-8457 und CVE-2025-10656: Zum Zeitpunkt dieser Veröffentlichung (Stand: 2026-07-28/29/31) sind keine offiziellen Patches bekannt. Prüfen Sie den WordPress Plugin Directory regelmäßig auf verfügbare Updates.
Für CVE-2026-3141: Aktualisieren Sie das Plugin „FormGent“ umgehend auf Version 1.10.0 oder höher.
Workaround für CVE-2026-15014: Deaktivieren Sie vorübergehend die OTP-basierte Registrierungsfunktion in den WooCommerce-Einstellungen, bis ein offizieller Patch verfügbar ist und eingespielt werden kann.
Workaround für CVE-2026-8457: Deaktivieren Sie das Plugin „WooCommerce – Social Login“ vollständig, bis ein Sicherheitsupdate verfügbar ist. Prüfen Sie alternative Lösungen für Social-Login-Funktionalität.
Workaround für CVE-2025-10656: Deaktivieren Sie das Plugin „Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light“ vollständig, bis ein Sicherheitsupdate verfügbar ist. Prüfen Sie alternative Lösungen für die Preisverwaltung.
Workaround für CVE-2026-3141 (falls Update nicht sofort möglich): Deaktivieren Sie das Plugin „FormGent“ vollständig, bis das Update auf Version 1.10.0 eingespielt werden kann.
Kurzfristige Maßnahmen:
Systemprüfung: Identifizieren und priorisieren Sie alle Systeme, auf denen die verwundbaren Plugins installiert sind.
Log-Analyse: Überprüfen Sie die Server- und Anwendungs-Logs auf verdächtige Aktivitäten:
Für CVE-2026-15014: Registrierungsversuche mit manipulierten billing_phone-Parametern
Für CVE-2026-8457: Ungewöhnliche Authentifizierungsversuche über Social-Login-Endpunkte ohne entsprechende OAuth-Flows
Für CVE-2025-10656: Ungewöhnliche Zugriffe auf die user_filter-Funktion oder administrative Endpunkte ohne entsprechende Authentifizierung
Für CVE-2026-3141: Ungewöhnliche Zugriffe auf den REST-API-Endpunkt /wp-json/formgent/responses/attachments, insbesondere DELETE-Anfragen von unauthentifizierten Quellen
Langfristige Maßnahmen:
Kontinuierliches Monitoring: Etablieren Sie Prozesse für ein kontinuierliches Schwachstellen- und Lieferantenrisikomanagement (Vendor Risk Management), um Risiken durch Drittanbieter-Software systematisch zu erkennen und zu bewerten.
DACH-Relevanz und regulatorische Einordnung
Für Unternehmen im DACH-Raum, die WooCommerce-Shops mit Kundendaten betreiben, kann eine erfolgreiche Ausnutzung dieser Schwachstellen eine meldepflichtige Datenpanne gemäß Art. 33 DSGVO darstellen — die zuständige Aufsichtsbehörde ist in der Regel innerhalb von 72 Stunden zu informieren, sofern ein Risiko für die Rechte und Freiheiten betroffener Personen besteht. NIS-2-pflichtige Unternehmen sollten zudem prüfen, ob die Plugins im Rahmen ihres verpflichtenden Schwachstellenmanagements erfasst und bewertet sind. Das BSI empfiehlt generell, Drittanbieter-Komponenten wie WordPress-Plugins in das unternehmenseigene Asset-Inventar aufzunehmen und deren Patch-Status kontinuierlich zu überwachen.
Einordnung durch External Attack Surface Management (EASM)
Schwachstellen in extern erreichbaren Komponenten wie WordPress-Plugins stellen ein erhebliches Risiko dar, da sie oft unbemerkt bleiben — insbesondere in komplexen IT-Landschaften oder wenn sie Teil von Schatten-IT sind: Plugins, die von einzelnen Teams oder Fachabteilungen eigenständig installiert wurden, erscheinen häufig nicht im zentralen Asset-Inventar und entziehen sich damit dem regulären Patch-Management.
Eine Plattform für External Attack Surface Management (EASM) wie LocateRisk hilft Unternehmen, die notwendige Transparenz über ihre externen Systeme zu erhalten. Durch kontinuierliches Scannen der Angriffsfläche werden eingesetzte Technologien und Softwarekomponenten — wie das „SMS Alert“-Plugin, das „WooCommerce – Social Login“-Plugin, das „Spreadsheet Price Changer“-Plugin oder das „FormGent“-Plugin — automatisch identifiziert, auch wenn sie nicht zentral dokumentiert sind. Sicherheitsteams erhalten so ein belastbares Inventar aller extern exponierten Assets und können bei Bekanntwerden von Schwachstellen wie CVE-2026-15014, CVE-2026-8457, CVE-2025-10656 oder CVE-2026-3141 unmittelbar ermitteln, welche Systeme betroffen sind. Gleichzeitig ermöglicht die laufende Überwachung, Konfigurationsdrift und neu entstehende Expositionen frühzeitig zu erkennen, bevor sie aktiv ausgenutzt werden.
Die Lösung von LocateRisk wird in zertifizierten deutschen Rechenzentren gehostet und unterstützt die Einhaltung von DSGVO-Anforderungen, was zur digitalen Souveränität von Unternehmen beiträgt.
CVE-2026-15014 ist eine kritische Sicherheitslücke (CVSS 9.8) im WordPress-Plugin „SMS Alert – SMS & OTP for WooCommerce, Order Notifications & Abandoned Cart Recovery“. Sie ermöglicht unauthentifizierten Angreifern, den OTP-Verifizierungsprozess zu umgehen und vollständige Kontrolle über beliebige Nutzerkonten zu erlangen, einschließlich Administrator-Konten.
CVE-2026-8457 ist eine kritische Sicherheitslücke (CVSS 9.8) im WordPress-Plugin „WooCommerce – Social Login“. Die Schwachstelle ermöglicht einen Authentifizierungs-Bypass in allen Versionen bis einschließlich 2.8.7 und erlaubt unauthentifizierten Angreifern, sich ohne gültige Anmeldedaten Zugang zu Benutzerkonten zu verschaffen.
CVE-2025-10656 ist eine kritische Sicherheitslücke (CVSS 9.8) im WordPress-Plugin „Spreadsheet Price Changer for WooCommerce and WP E-commerce – Light“. Die Schwachstelle beruht auf fehlenden Autorisierungsprüfungen in der user_filter-Funktion und ermöglicht unauthentifizierten Angreifern den Zugriff auf administrative Funktionen des Plugins.
CVE-2026-3141 ist eine kritische Sicherheitslücke (CVSS 9.1) im WordPress-Plugin „FormGent – Next-Gen AI Form Builder for WordPress“. Die Schwachstelle beruht auf einer fehlenden Berechtigungsprüfung am REST-API-Endpunkt /wp-json/formgent/responses/attachments und ermöglicht unauthentifizierten Angreifern die Löschung beliebiger Dateien auf dem Server. Ein Patch ist in Version 1.10.0 verfügbar.
Für CVE-2026-15014 sind alle Versionen des „SMS Alert“-Plugins bis einschließlich Version 3.9.7 betroffen. Für CVE-2026-8457 sind alle Versionen des „WooCommerce – Social Login“-Plugins bis einschließlich Version 2.8.7 betroffen. Für CVE-2025-10656 sind alle Versionen des „Spreadsheet Price Changer“-Plugins bis einschließlich Version 2.4.37 betroffen. Für CVE-2026-3141 sind alle Versionen des „FormGent“-Plugins bis einschließlich Version 1.9.2 betroffen. Zum Zeitpunkt der Veröffentlichung dieser Analyse (Stand: 2026-07-28/29/30/31) sind für CVE-2026-15014, CVE-2026-8457 und CVE-2025-10656 keine offiziellen Patches bekannt. Für CVE-2026-3141 ist ein Patch in Version 1.10.0 verfügbar. Prüfen Sie den WordPress Plugin Directory regelmäßig auf verfügbare Updates.
Für CVE-2026-15014 empfiehlt sich als unmittelbarer Workaround die Deaktivierung der OTP-basierten Registrierungsfunktion in den WooCommerce-Einstellungen. Für CVE-2026-8457 sollte das Plugin „WooCommerce – Social Login“ vollständig deaktiviert werden. Für CVE-2025-10656 sollte das betroffene Plugin vollständig deaktiviert werden. Für CVE-2026-3141 sollten Sie umgehend auf Version 1.10.0 aktualisieren; falls dies nicht sofort möglich ist, deaktivieren Sie das Plugin vollständig. Darüber hinaus sollten Server- und Anwendungs-Logs auf verdächtige Aktivitäten geprüft werden.
CVE-2026-11387 (publiziert 2026-07-01) betraf Versionen bis einschließlich 3.9.5 und nutzte einen fehlerhaften Passwort-Reset-Mechanismus. CVE-2026-15014 betrifft Versionen bis einschließlich 3.9.7 und beschreibt einen anderen Angriffsweg über die processRegistration()-Funktion und den billing_phone-Parameter. Beide Schwachstellen ermöglichen eine vollständige Kontoübernahme ohne vorherige Authentifizierung.
Stand: 02.08.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2024-3094
Passive Bewertung
Hinweise zur CVEHinweise gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français