Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Am 29. August 2026 wurde CVE-2026-16947 für das WordPress-Plugin Total processing card payments for WooCommerce veröffentlicht. Betroffen sind Versionen bis einschließlich 7.3.
Die Schwachstelle betrifft die serverseitige Verifikation von Zahlungsvorgängen. Das Plugin validiert einen vom Nutzer gelieferten Pfad nicht, bevor es eine serverseitige Verifikationsanfrage erstellt. Zudem prüft es die Authentizität der empfangenen Antwort nicht.
WPScan bewertet CVE-2026-16947 mit einem CVSS-3.1-Wert von 9.1. Die Schwachstelle kann ohne vorherige Anmeldung und ohne Interaktion durch Nutzende ausgenutzt werden.
Möglich sind drei Folgen:
Serverseitige Verifikationsanfragen lassen sich auf beliebige Hosts umleiten.
Payment-Gateway-Zugangsdaten des Merchants können dabei offengelegt werden.
Eine gefälschte Erfolgsantwort kann beliebige WooCommerce-Bestellungen als bezahlt markieren.
Die Schwachstelle verbindet damit Risiken für die Vertraulichkeit von Gateway-Zugangsdaten mit Risiken für die Integrität von Zahlungs- und Bestelldaten.
Eine Offenlegung von Payment-Gateway-Zugangsdaten kann eine meldepflichtige Datenpanne nach DSGVO Art. 33 darstellen, für die eine 72-Stunden-Frist zur Meldung an die zuständige Aufsichtsbehörde gilt. Für NIS-2-pflichtige Einrichtungen in Deutschland und Österreich — umgesetzt über das jeweilige nationale Umsetzungsrecht — gilt zusätzlich die Pflicht zur unverzüglichen Meldung sicherheitsrelevanter Vorfälle. Schweizer Shop-Betreiber erstatten Meldung nach dem revidierten Informationssicherheitsgesetz (ISG) an das Bundesamt für Cybersicherheit (BACS).
Warum die Zahlungsprüfung betroffen ist
Das Plugin verwendet einen nutzerkontrollierten Pfad beim Aufbau einer serverseitigen Anfrage zur Zahlungsprüfung. Ohne Validierung kann ein Angreifer die Anfrage auf ein beliebiges Ziel lenken.
Die Antwort dieser Anfrage wird laut WPScan nicht auf ihre Authentizität geprüft. Dadurch kann eine manipulierte Erfolgsantwort in den Zahlungsprozess gelangen und den Status einer WooCommerce-Bestellung als bezahlt kennzeichnen.
Für Shop-Betriebe betrifft dies insbesondere Prozesse, die Versand, Buchhaltung oder Kundenservice anhand des Zahlungsstatus auslösen. Ein als bezahlt markierter Auftrag kann auf einer nicht authentischen Verifikationsantwort beruhen.
Maßnahmen für betroffene Shops
Zum Zeitpunkt dieser Veröffentlichung steht kein offizieller Patch bereit. Das Plugin deaktivieren ist daher die primäre Mitigationsmaßnahme, bis ein Update des Herstellers verfügbar ist.
Als ergänzende Maßnahme bis zur Verfügbarkeit eines Updates bietet sich an:
Ausgehenden HTTP-Traffic des Webservers auf bekannte Payment-Gateway-Endpunkte beschränken.
Die Beschränkung des ausgehenden HTTP-Traffics begrenzt die Möglichkeit, serverseitige Verifikationsanfragen auf beliebige Hosts umzuleiten. Sie ersetzt keine Aktualisierung des Plugins.
Payment-Gateway-Zugangsdaten wie API-Keys und Merchant-Credentials rotieren, falls das Plugin eingesetzt wurde.
Die WooCommerce-Bestellhistorie auf nicht autorisierte Änderungen des Status „bezahlt“ prüfen.
Betroffene Systeme nach ihrer Zahlungsfunktion priorisieren und mitigieren.
Ein Inventar der eingesetzten WordPress-Plugins pflegen.
Automatische Updates für sicherheitsrelevante Plugins aktivieren, sobald ein Patch verfügbar ist.
Extern sichtbare Shops einordnen
Bei CVE-2026-16947 ist die externe Sichtbarkeit der betroffenen Shop-Infrastruktur für die Priorisierung relevant. WordPress-Installationen und aktive Plugins können über HTTP-Fingerprinting erkennbar sein, etwa über Plugin-Pfade oder Versionsmetadaten im HTML.
LocateRisk unterstützt im Rahmen von External Attack Surface Management dabei, öffentlich erreichbare Webanwendungen unter Kunden-Domains zu erfassen und sichtbare WordPress-Installationen oder Plugins für eine Prüfung zuzuordnen. Dies unterstützt Teams bei der Frage, welche extern erreichbaren Shops auf den Einsatz des betroffenen Plugins geprüft werden sollten.
Eine externe Erfassung ersetzt keine Prüfung des Patchstatus. LocateRisk erkennt nicht zwingend die konkret verwundbare Plugin-Version. Die technische Sichtbarkeit von Shop-Systemen kann jedoch die Prüfung von Zahlungsfunktion, eingesetzten Komponenten, Zuständigkeiten und potenziell betroffenen Gateway-Zugangsdaten strukturieren.
Bin ich betroffen?
Betroffen ist Total processing card payments for WooCommerce in den oben genannten Versionen. Wer wissen will, ob Total processing card payments for WooCommerce in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
Zum Zeitpunkt der Veröffentlichung dieser Schwachstelle am 29. August 2026 steht kein offizieller Patch bereit. Betreiber sollten das Plugin deaktivieren, bis der Hersteller ein Update veröffentlicht, und den Patchstatus regelmäßig über den WPScan-Advisory verfolgen.
Das Plugin sollte umgehend deaktiviert werden. Darüber hinaus empfiehlt sich die Rotation aller Payment-Gateway-Zugangsdaten wie API-Keys und Merchant-Credentials sowie eine Prüfung der Bestellhistorie auf unautorisierte Statusänderungen. Ausgehender HTTP-Traffic des Webservers sollte auf bekannte Payment-Gateway-Endpunkte beschränkt werden.
Stand: 31.08.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2024-3094
Passive Bewertung
Hinweise zur CVEHinweise gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français