WordPress-Plugin-Schwachstellen: 10 Plugins, darunter Welcart e-Commerce

In zehn WordPress-Plugins wurden Schwachstellen offengelegt, die meisten davon in den letzten Oktobertagen 2026. Nahezu alle können von nicht angemeldeten Angreifern ausgenutzt werden. Die gravierendste ist eine Schwachstelle zur Remote-Code-Ausführung im Project Manager mit einem CVSS-Wert von 9,8. Für keine der Schwachstellen ist eine aktive Ausnutzung bekannt, dennoch empfehlen wir, alle Websites zu prüfen, auf denen diese Plugins eingesetzt werden.

Project Manager – AI Powered Project Management (5.000 aktive Installationen)

Das Plugin ist über den Parameter 'id' einer REST-Route anfällig für Remote-Code-Ausführung. Nicht angemeldete Angreifer können dies nutzen, um Code auf dem Server auszuführen, da die verwundbare Validierung vor der Berechtigungsprüfung läuft. Alle Versionen bis einschließlich 4.1.1 sind betroffen. Die Schwachstelle wird als CVE-2026-116512 mit einem CVSS-Wert von 9,8 geführt. Aktualisieren Sie umgehend auf die neueste Version; ist auf einer Website kein Update verfügbar, deaktivieren und entfernen Sie das Plugin.

Rox Appointment Booking (2.000 aktive Installationen)

Eine Mass-Assignment-Schwachstelle im öffentlichen Buchungs-REST-Endpunkt erlaubt nicht angemeldeten Angreifern, eine beliebige WordPress-Benutzer-ID mit einer E-Mail-Adresse ihrer Wahl zu speichern. Öffnet und speichert ein Administrator den manipulierten Kundendatensatz, wird die E-Mail-Adresse des betroffenen Kontos überschrieben. Dadurch ist eine Kontoübernahme über die Passwort-Zurücksetzung möglich. Alle Versionen bis einschließlich 1.3.1 sind betroffen (CVE-2026-104012, CVSS 8,8). Aktualisieren Sie auf die neueste Version; ist kein Update verfügbar, deaktivieren und entfernen Sie das Plugin.

WP Directory Kit (2.000 aktive Installationen)

Das Plugin ist über den Parameter 'idfield' anfällig für SQL-Injection. Nicht angemeldete Angreifer können dadurch sensible Informationen aus der Datenbank auslesen. Alle Versionen bis einschließlich 1.6.0 sind betroffen (CVE-2026-109197, CVSS 7,5). Aktualisieren Sie auf die neueste Version; ist kein Update verfügbar, deaktivieren und entfernen Sie das Plugin.

MembershipWorks (2.000 aktive Installationen)

Eine Schwachstelle zur Offenlegung von Informationen erlaubt nicht angemeldeten Angreifern, nur für Mitglieder bestimmte Inhalte über die WordPress-REST-API auszulesen und den Inhaltsschutz des Plugins zu umgehen. Versionen vor 6.17 sind betroffen (CVE-2026-112355, CVSS 7,5). Aktualisieren Sie auf Version 6.17 oder neuer.

Welcart e-Commerce (10.000 aktive Installationen)

Nicht angemeldete Besucher können über den Parameter 'gid' schädliche Skripte speichern, indem sie eine gefälschte ROBOT-PAYMENT-Rücksendeanfrage senden. Das Skript wird ausgeführt, sobald ein Administrator die betroffene Bestellung öffnet. Alle Versionen bis einschließlich 2.12.5 sind betroffen (CVE-2026-118070, CVSS 7,2). Aktualisieren Sie auf die neueste Version.

WPO365 | Microsoft 365 Graph Mailer (10.000 aktive Installationen)

Das Plugin ist über den Betreff von E-Mails anfällig für gespeichertes Cross-Site-Scripting. Nicht angemeldete Angreifer können diesen über Formulare wie Contact Form 7 einbringen, wenn der Graph Mailer aktiviert, die OAuth-Autorisierung jedoch nicht abgeschlossen ist. Alle Versionen bis einschließlich 6.2 sind betroffen (CVE-2026-107759, CVSS 7,2). Aktualisieren Sie auf die neueste Version.

User Submitted Posts (10.000 aktive Installationen)

Nicht angemeldete Angreifer können über den Parameter 'user-submitted-content' Skripte einschleusen (gespeichertes DOM-basiertes Cross-Site-Scripting). Standardmäßig müssen Einsendungen freigegeben werden. Ist jedoch die Option "sofort veröffentlichen" aktiviert, wird die Schadnutzlast ohne Prüfung veröffentlicht. Alle Versionen bis einschließlich 20260916 sind betroffen (CVE-2026-119162, CVSS 7,2). Aktualisieren Sie auf die neueste Version.

Debug Log Manager (10.000 aktive Installationen)

Das Plugin ist über die Parameter 'message' und 'pageUrl' anfällig für gespeichertes Cross-Site-Scripting. Nicht angemeldete Angreifer können dies ausnutzen, wenn das Debug-Logging mit JS-Fehlerprotokollierung aktiviert ist. Alle Versionen bis einschließlich 2.5.2 sind betroffen (CVE-2026-120114, CVSS 7,2). Aktualisieren Sie auf die neueste Version und deaktivieren Sie die JS-Fehlerprotokollierung, wenn Sie diese nicht benötigen.

FeedWordPress (8.000 aktive Installationen)

Syndizierte RSS/Atom-Inhalte werden ohne ausreichende Filterung importiert. Ein Angreifer, der einen Feed kontrolliert, den die Website bereits abonniert hat, kann dadurch Skripte einschleusen (gespeichertes Cross-Site-Scripting). Versionen bis einschließlich 2026.0517 sind betroffen (CVE-2026-110530, CVSS 7,2). Aktualisieren Sie auf die neueste Version und prüfen Sie, welche externen Feeds Ihre Websites abonniert haben.

VikRentCar Car Rental Management System (4.000 aktive Installationen)

Zwei Schwachstellen für gespeichertes Cross-Site-Scripting erlauben nicht angemeldeten Angreifern das Einschleusen von Skripten: eine über den Parameter 'poplink' in Versionen bis einschließlich 1.4.9 (CVE-2026-115840) und eine über den Parameter 'optionals' in Versionen bis einschließlich 1.4.10 (CVE-2026-116548). Beide haben einen CVSS-Wert von 7,2. Aktualisieren Sie auf die neueste Version; ist kein Update verfügbar, deaktivieren und entfernen Sie das Plugin.

So prüfen Sie Ihre Websites

Öffnen Sie im WordPress-Dashboard Plugins > Installierte Plugins und suchen Sie nach den oben genannten Plugins und deren Versionsnummern. Mit WP-CLI zeigt "wp plugin list" die installierten Plugins, ihre Versionen und verfügbaren Updates an. Anschließend aktualisieren Sie mit "wp plugin update ". Steht keine korrigierte Version zur Verfügung, deaktivieren und entfernen Sie das Plugin, bis der Entwickler ein Update veröffentlicht.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-104012
• https://nvd.nist.gov/vuln/detail/CVE-2026-107759