CVE-2026-100109: Privilegierte Konten über Security For WooCommerce
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.WPScan dokumentiert mit CVE-2026-100109 eine Schwachstelle im WordPress-Plugin Security For WooCommerce. Betroffen sind die Versionen 1.0.10 bis 1.0.16. Die Schwachstelle ist mit CVSS 9.8 bewertet und der Kategorie CWE-862: Missing Authorization zugeordnet.
Die dokumentierte Funktion kann über eine nicht authentifizierte HTTP-Anfrage erreicht werden. Dabei kann die Rolle eines neu angelegten Benutzerkontos vorgegeben werden. Dies kann die Anlage eines Kontos mit Administratorrechten und die Übernahme einer betroffenen Website ermöglichen.
Laut WPScan fehlt bei der WordPress-Action usfw_create_temporary_user eine Berechtigungsprüfung. Die Funktion ist für nicht authentifizierte Besucher erreichbar und erlaubt dem Aufrufer, die Rolle des neu anzulegenden Kontos festzulegen.
Wird dabei eine privilegierte Rolle wie Administrator angegeben, kann ein Angreifer ein Konto mit weitreichenden Rechten anlegen. Der dokumentierte Angriffsweg benötigt weder ein bestehendes Benutzerkonto noch eine Interaktion durch Nutzer.
Der veröffentlichte CVSS-Wert von 9.8 beschreibt einen netzwerkbasierten Angriff mit geringer Komplexität, ohne erforderliche Berechtigungen und ohne Nutzerinteraktion. Vertraulichkeit, Integrität und Verfügbarkeit sind im CVSS-Eintrag jeweils als hoch bewertet.
Zum Zeitpunkt der Veröffentlichung ist keine fehlerbereinigte Version des Plugins bekannt. Laut WPScan ist derzeit keine aktive Ausnutzung dokumentiert.
Betroffenheit und Konten prüfen
Organisationen sollten zunächst feststellen, ob Security For WooCommerce in den Versionen 1.0.10 bis 1.0.16 auf ihren WordPress-Instanzen eingesetzt wird. Besondere Priorität haben Instanzen, deren betroffene Funktion über HTTP erreichbar ist.
Die Prüfung unbekannter Administrator-Konten ist ein eigener Arbeitsschritt. Bereits angelegte Konten können fortbestehen, auch wenn das Plugin deaktiviert wird oder später eine Korrektur eingespielt wurde.
Empfohlene Maßnahmen sind:
Plugin-Bestand und eingesetzte Versionen auf WordPress-Instanzen erfassen.
Prüfen, ob unbekannte Administrator-Konten oder andere privilegierte Benutzer angelegt wurden.
Betroffene Systeme priorisieren und geeignete Minderungsmaßnahmen umsetzen.
Den Zugriff auf die betroffene Action über eine WAF- oder Firewall-Regel einschränken.
Das Plugin deaktivieren, solange keine Herstellerkorrektur verfügbar ist.
Nach Bereitstellung durch den Hersteller auf eine fehlerbereinigte Version aktualisieren.
Ein regelmäßig gepflegtes WordPress-Plugin-Inventar unterstützt zudem die Prüfung bekannter CVEs auf eingesetzten Komponenten.
WooCommerce gehört in Deutschland, Österreich und der Schweiz zu den meistgenutzten E-Commerce-Plattformen. Betreiber in Deutschland und Österreich, die unter NIS-2 bzw. das österreichische NISG fallen, sollten prüfen, ob eine Kompromittierung über diese Schwachstelle eine Meldepflicht auslöst. Sind dabei personenbezogene Daten von EU-Bürgerinnen und -Bürgern betroffen, kann eine Meldepflicht nach Art. 33 DSGVO gegenüber der zuständigen Datenschutzbehörde bestehen (72-Stunden-Frist). Für Schweizer Organisationen gilt das revidierte Informationssicherheitsgesetz (ISG) mit Meldepflichten gegenüber dem BACS.
Extern erreichbare WordPress-Instanzen einordnen
Security For WooCommerce wird als serverseitige Komponente unter einer Kundendomain betrieben. Laut der vorliegenden technischen Einordnung können Instanzen unter anderem über Plugin-Pfade, HTTP-Header oder Response-Signaturen extern erkennbar sein.
LocateRisk kann extern erreichbare Webanwendungen und Systeme unter Kundendomains sichtbar machen. Das unterstützt die Zuordnung öffentlich erreichbarer WordPress-Instanzen zur technischen Prüfung. Eine extern erkannte Instanz belegt jedoch nicht automatisch die konkret eingesetzte verwundbare Version. Für CVE-2026-100109 bleibt daher die Prüfung des Plugin-Bestands und der eingesetzten Version erforderlich.
Bei Betrieb, Wartung oder Plugin-Verwaltung durch Dritte sollte außerdem geklärt werden, wer für Updates, Kontenprüfungen und dokumentierte Minderungsmaßnahmen verantwortlich ist. Kontinuierliches Schwachstellen- und Vendor-Risk-Monitoring kann diese Aufgaben in wiederkehrende Prüfabläufe einbinden.
Bin ich betroffen?
Betroffen ist Security For WooCommerce in den oben genannten Versionen. Wer wissen will, ob Security For WooCommerce in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
Die Schwachstelle erlaubt es nicht authentifizierten Angreifern, über eine fehlende Berechtigungsprüfung ein WordPress-Konto mit frei wählbarer Rolle — einschließlich Administrator — anzulegen. Damit ist eine vollständige Übernahme der betroffenen Website möglich, ohne dass ein bestehendes Konto oder eine Nutzerinteraktion erforderlich ist.
Betroffen sind die Versionen 1.0.10 bis 1.0.16 des Plugins Security For WooCommerce. Zum Zeitpunkt der Veröffentlichung ist keine fehlerbereinigte Version verfügbar. Betreiber sollten das Plugin bis zur Bereitstellung einer Korrektur deaktivieren.
Das Plugin sollte bis zur Verfügbarkeit einer Korrektur deaktiviert werden. Zusätzlich empfiehlt sich die Einschränkung des Zugriffs auf die betroffene WordPress-Action über eine WAF- oder Firewall-Regel sowie eine gezielte Prüfung bestehender Administrator-Konten auf unbekannte Einträge.
Stand: 05.11.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Erste Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-100109
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français