Fremde konnten aus WooCommerce-Shops die E-Mail- und IP-Adressen von Kunden auslesen, die eine Bewertung geschrieben hatten, ohne Konto und ohne Hilfe eines Administrators. Die Ursache steckt in der Suchfunktion des Plugins Customer Reviews for WooCommerce mit mehr als 80.000 aktiven Installationen. Der Fix erschien am 9. November, doch am 14. November liefen noch 70,9 Prozent der Installationen auf älteren Reihen.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Die US-Datenbank NVD hat die Sicherheitslücke am 13. November als CVE-2026-121518 aufgenommen, meldende Stelle ist Wordfence.[1] Betroffen sind alle Versionen des Plugins von CusRev bis 5.127.0.[1] Wordfence vergibt 5,3 von 10 Punkten (CVSS 3.1) und stuft die Lücke damit als mittel ein.[1]
Das Wichtigste in Kürze
- Betroffen sind alle Versionen bis 5.127.0, die Version 5.128.0 vom 9. November enthält den Fix.
- Ein Angreifer braucht weder ein Konto noch die Mitwirkung eines Administrators. Ausgelesen werden E-Mail- und IP-Adressen der Bewerter.
- Der Patch liegt vor, Angriffe sind bis zum 14. November nicht belegt, der CISA-Katalog für ausgenutzte Schwachstellen enthält den Eintrag nicht.
Wie kommen Fremde an die Adressen Ihrer Kunden?
Das Plugin ergänzt die Bewertungen von WooCommerce um Erinnerungsmails, Fragen und Antworten sowie Raster und Slider.[2] Die Suche in diesen Anzeigen steht auch Besuchern ohne Konto offen. Laut Wordfence reicht das Plugin den Suchtext an die Kommentarabfrage von WordPress weiter, die neben dem Text auch Name, E-Mail-Adresse, Webadresse und IP-Adresse des Bewerters durchsucht.[1]
Ob ein Suchtext Treffer liefert, verrät dem Angreifer etwas über Felder, die WordPress und WooCommerce nie öffentlich zeigen. Aus vielen Abfragen lassen sich Adressen Stück für Stück erschließen.[1] Ändern oder löschen kann der Angreifer nichts, deshalb bleibt es bei 5,3 Punkten.[1]
Für Shopbetreiber zählt trotzdem die Art der Daten. Bewerter haben meist gekauft, die Adresse gehört also einem echten Kunden. Mit Adresse und Shopname lässt sich eine glaubwürdige Phishing-Mail bauen. E-Mail- und IP-Adressen sind zudem personenbezogene Daten im Sinne der DSGVO.
Am 14. November liefen laut wordpress.org nur 29,1 Prozent der Installationen auf der gepatchten Reihe 5.128, 15,8 Prozent auf 5.127, 6,5 Prozent auf 5.126 und 48,5 Prozent auf ältere Reihen.[2] Rechnerisch sind das 70,9 Prozent von mehr als 80.000, also mehr als 56.000 Installationen vor dem Fix.
Ist das ein Einzelfall?
Nein, auch nicht bei diesem Hersteller. Die Änderungsprotokolle von 5.127.0 und 5.128.0 enthalten zusammen fünf Einträge mit dem Vermerk „Security“, von der Ausgabe der Slider-Einstellungen bis zur Suche, die nun nur noch öffentliche Felder durchsucht.[2]
Informationslecks sind die leise Klasse: Der Angreifer verändert nichts, er liest nur, und das fällt im Betrieb selten auf. Bei Everest Forms legte eine Lücke Zugangsdaten offen. Der Fehler ist oft derselbe: Eine öffentlich erreichbare Funktion nimmt Besuchereingaben entgegen, ohne die Reichweite der Abfrage zu begrenzen.
Vom Update bis zum NVD-Eintrag
Auf welchen Versionsreihen die Installationen liefen
Orange: alle Reihen vor 5.128, zusammen 70,9 Prozent der Installationen. Die Statistik von wordpress.org zeigt Anteile je Versionsreihe, nicht je Einzelversion.
Eine Bewertungssuche darf nur durchsuchen, was jeder lesen darf. Hier durchsuchte sie auch die Adressen der Kunden.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Shopbetreiber jetzt tun?
- Aktualisieren: Spielen Sie Customer Reviews for WooCommerce 5.128.0 oder neuer ein und schalten Sie automatische Updates für das Plugin ein.
- Protokolle sichten: Prüfen Sie die Zugriffsprotokolle aus der Zeit vor dem Update auf auffällig viele Suchanfragen an die Bewertungsfunktion von derselben Adresse.
- Meldepflicht prüfen: Gibt es Hinweise auf einen erfolgreichen Abruf, bewerten Sie das Risiko schriftlich. Die Meldepflicht nach Art. 33 DSGVO gilt 72 Stunden nach Bekanntwerden.
- Kunden warnen: Bei Verdacht informieren Sie Ihre Kunden über mögliche gefälschte Mails im Namen des Shops.
Agenturen mit vielen Kundenshops filtern ihre Update-Werkzeuge nach dem Plugin und allen Versionen bis 5.127.0. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, die Checkliste zur WordPress-Wartung hilft beim Update-Rhythmus, und im WordPress-Hosting-Vergleich finden Betreiber Anbieter, die den Betrieb übernehmen.
FAQ: Sicherheitslücke bei Customer Reviews for WooCommerce
Welche Version von Customer Reviews for WooCommerce ist sicher?
Die Version 5.128.0 vom 9. November 2026 begrenzt laut Änderungsprotokoll die Suche auf öffentliche Felder. Betroffen sind laut NVD alle Versionen bis 5.127.0. Prüfen Sie im Plugin-Bereich Ihres WordPress, welche Version läuft.
Braucht ein Angreifer ein Konto im Shop?
Nein. Laut NVD-Eintrag genügt ein Besucher ohne Anmeldung, und auch ein Administrator muss nichts tun. Ausgelesen werden E-Mail- und IP-Adressen der Bewerter, geändert oder gelöscht werden kann nichts.
Wird die Sicherheitslücke schon ausgenutzt?
Angriffe sind bis zum 14. November 2026 nicht belegt. Im Katalog der CISA für ausgenutzte Schwachstellen steht der Eintrag nicht, öffentlichen Exploit-Code nennt keine der geprüften Quellen.
Muss ich einen Abruf der Adressen melden?
Das hängt vom Risiko für die Betroffenen ab. Gibt es Hinweise auf einen erfolgreichen Abruf, prüfen Sie die Meldepflicht nach Art. 33 DSGVO. Sie gilt 72 Stunden nach Bekanntwerden der Verletzung.
Quellen
2 Quellen anzeigenQuellen ausblenden
- NVDCVE-2026-121518, veröffentlicht am 13. November 2026, meldende Stelle Wordfence; CISA: Known Exploited Vulnerabilities Catalog, abgeglichen am 14. November 2026
- wordpress.orgCustomer Reviews for WooCommerce, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 14. November 2026
Mehr Newshunger?
- Sicherheitslücke bei WooCommerce Stripe im Express-Checkout
- Sicherheitslücken bei Razorpay for WooCommerce im Checkout
- Menu Cart mit über 70.000 Installationen: Schwere Sicherheitslücke im Warenkorb von WooCommerce-Shops
- Everest Forms mit über 90.000 Installationen: Sicherheitslücke legt Zugangsdaten offen, erst der zweite Fix hilft
- Sicherheitslücken bei ProfilePress in Mitgliedschaften
