WordPress-Plugin-Schwachstellen: 6 Plugins betroffen, darunter SureCart

Für sechs WordPress-Plugins wurden Schwachstellen veröffentlicht. Die gravierendsten betreffen Ultra Addons for Contact Form 7 und s2Member, die beide mit CVSS 9.8 eingestuft sind. Das am weitesten verbreitete betroffene Plugin ist SureCart mit rund 80.000 aktiven Installationen, bei dem nicht authentifizierte Angreifer Administratorkonten übernehmen können. Für keine dieser Schwachstellen wird bislang von einer aktiven Ausnutzung berichtet. Prüfen Sie alle von Ihnen betreuten Websites auf diese Plugins.

Ultra Addons for Contact Form 7 (60.000 aktive Installationen)

Nicht authentifizierte Angreifer können aufgrund unzureichender Validierung des Dateipfads in der Funktion _getObjAttr beliebige Dateien auf dem Server löschen. Das Löschen einer Datei wie wp-config.php kann zur Remote-Code-Ausführung führen. Die Lücke kann nur ausgenutzt werden, wenn das Add-on PDF Generator aktiv ist und ein Contact-Form-7-Formular für die PDF-Erstellung konfiguriert ist. Alle Versionen bis einschließlich 3.5.54 sind betroffen (CVE-2026-102435, CVSS 9.8). Aktualisieren Sie auf die neueste Version, oder deaktivieren und entfernen Sie das Plugin, falls kein Update verfügbar ist.

s2Member (8.000 aktive Installationen)

Das Plugin ist über den Parameter item_name anfällig für Remote-Code-Ausführung, da die Bereinigung in strip_php_tags_deep() unzureichend ist. Authentifizierte Angreifer mit Zugriff ab der Stufe Custom Level können Code auf dem Server ausführen. Alle Versionen bis einschließlich 260927 sind betroffen (CVE-2026-86596, CVSS 9.8). Aktualisieren Sie auf die neueste Version, oder deaktivieren und entfernen Sie das Plugin, falls kein Update verfügbar ist.

SureCart (80.000 aktive Installationen)

Der passwortlose Anmeldevorgang mit einmaligem Code besitzt keinen Zähler für Fehlversuche, keine Sperre und kein Ratenlimit und funktioniert auch für Konten mit hohen Berechtigungen. Ein nicht authentifizierter Angreifer kann für jeden Benutzer, auch für einen Administrator, einen Code anfordern und den 6-stelligen Code per Brute-Force erraten, um eine Sitzung als dieser Benutzer zu erhalten. Alle Versionen bis einschließlich 4.9.5 sind betroffen (CVE-2026-120574, CVSS 8.1). Aktualisieren Sie auf die neueste Version, oder deaktivieren und entfernen Sie das Plugin, falls kein Update verfügbar ist.

Easy Digital Downloads (40.000 aktive Installationen)

Eine Umgehung der Authentifizierung im PayPal-Gastcheckout ermöglicht es einem nicht authentifizierten Angreifer, der die E-Mail-Adresse eines Administrators verwendet, für den kein bestehender EDD-Kundendatensatz vorhanden ist, nach Abschluss des PayPal-Kaufvorgangs eine authentifizierte Sitzung als dieser Administrator zu erhalten. Betroffen sind der Standard-PayPal-Checkout sowie die REST-Abläufe UnbrandedCard und Fastlane. Alle Versionen bis einschließlich 3.7.2 sind verwundbar (CVE-2026-120538, CVSS 8.1). Aktualisieren Sie auf die neueste Version, oder deaktivieren und entfernen Sie das Plugin, falls kein Update verfügbar ist.

FluentCart (9.000 aktive Installationen)

Durch unzureichende Validierung des Dateipfads in der Funktion deleteFile können authentifizierte Angreifer mit Zugriff ab der Stufe Custom Level beliebige Dateien auf dem Server löschen. Das Löschen einer Datei wie wp-config.php kann zur Remote-Code-Ausführung führen. Alle Versionen bis einschließlich 1.6.2 sind betroffen (CVE-2026-120577, CVSS 8.1). Aktualisieren Sie auf die neueste Version, oder deaktivieren und entfernen Sie das Plugin, falls kein Update verfügbar ist.

Advanced Shipment Tracking for WooCommerce (70.000 aktive Installationen)

Der Parameter tracking_provider des REST-Endpunkts shipment-trackings ist für SQL-Injection anfällig, da der Wert direkt in die Abfrage eingefügt wird. Authentifizierte Angreifer mit Zugriff ab der Stufe Shop Manager können damit sensible Informationen aus der Datenbank auslesen. Alle Versionen bis einschließlich 3.9 sind betroffen (CVE-2026-120558, CVSS 7.2). Aktualisieren Sie auf die neueste Version, oder deaktivieren und entfernen Sie das Plugin, falls kein Update verfügbar ist.

So prüfen Sie Ihre Websites

Öffnen Sie im WordPress-Dashboard Plugins > Installierte Plugins und suchen Sie nach den oben genannten Plugins und deren Versionsnummern. Mit WP-CLI zeigt wp plugin list alle installierten Plugins mit Versionen und verfügbaren Updates an, und wp plugin update <plugin-slug> aktualisiert ein einzelnes Plugin. Bestätigen Sie nach dem Update, dass die neue Version aktiv ist, und entfernen Sie betroffene Plugins, die nicht mehr benötigt werden.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-102435
• https://nvd.nist.gov/vuln/detail/CVE-2026-120538