Easy Digital Downloads, das Shop-Plugin für digitale Produkte mit über 40.000 Installationen, meldete bis Version 3.7.2 Fremde über den PayPal-Gastkauf als Administrator an. Dafür genügte die E-Mail-Adresse des Administrators. Die strengere Kontoprüfung steckt in Version 3.7.3 vom 2. November.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Wordfence hat am 30. Oktober eine Sicherheitslücke im WordPress-Plugin Easy Digital Downloads (EDD) öffentlich gemacht, betroffen sind alle Versionen bis 3.7.2. Laut wordpress.org läuft das Plugin auf über 40.000 Websites. Wordfence bewertet CVE-2026-120538 nach CVSS 3.1 mit 8,1 von 10 Punkten, Stufe hoch. Ein Konto braucht der Angreifer nicht.[1][2]
Das Wichtigste in Kürze
- Trägt ein Angreifer im PayPal-Gastkauf die E-Mail-Adresse eines Administrators ein, meldet EDD ihn nach der Zahlung als diesen Administrator an.
- Voraussetzung laut Eintrag: Der Administrator hat in EDD noch keinen Kundeneintrag.
- Version 3.7.3 vom 2. November verschärft die Kontoprüfung bei PayPal-Bestellungen.
- Angriffe sind bis zum 4. November nicht bekannt.
Wie wird aus einem Gastkauf ein Administratorkonto?
Beim Gastkauf bestellt ein Kunde ohne Konto und gibt im Formular nur seine E-Mail-Adresse an. Laut CVE-Eintrag ordnete EDD die Bestellung einem vorhandenen WordPress-Benutzer zu, sobald die Adresse übereinstimmte, ohne dass jemand die Adresse bestätigt hatte. Nach Abschluss der PayPal-Zahlung setzte das Plugin für diesen Benutzer das Anmelde-Cookie.[1]
Ein Angreifer musste den Kauf also nur mit der Adresse eines Administrators beginnen und den PayPal-Ablauf zu Ende führen. Voraussetzung ist ein Administrator, der noch nie im eigenen Shop bestellt hat. Offen war laut Eintrag auch der Weg über die Kartenzahlung und PayPal Fastlane. Wordfence setzt die Angriffskomplexität auf hoch.[1]
Folge ist ein Administratorkonto in fremder Hand. In einem Shop heißt das Zugriff auf Bestellungen, Kundendaten und Download-Dateien, außerdem lässt sich über den Plugin-Upload Schadcode einspielen.
Drei Tage von der Offenlegung zum Update
Laut CVE-Eintrag erfuhr der Hersteller am 14. Oktober von der Lücke, gemeldet von Yuto Hyakumoto. Die Offenlegung folgte am 30. Oktober, die Datenbank NVD führt den Eintrag seit dem 3. November. Version 3.7.3, die wordpress.org als Aktualisierung vom 2. November führt, verschärft laut Änderungsprotokoll die Kontoprüfung beim Abschluss einer PayPal-Bestellung. Das Protokoll nennt keine CVE-ID; die Zuordnung ergibt sich aus dem Angriffsbereich bis 3.7.2.[1][2]
Laut Versionsstatistik von wordpress.org liefen am 4. November rund 31 Prozent der Installationen auf den Zweigen 3.6, 3.5 und 3.3 und damit nach dem Eintrag auf einer betroffenen Version. Der Zweig 3.7 mit 52,9 Prozent enthält auch 3.7.0 bis 3.7.2, die Rubrik „andere“ mit 16 Prozent schlüsselt die Statistik nicht auf. Die US-Behörde CISA führt die Lücke nicht in ihrem Katalog ausgenutzter Schwachstellen.[2]
Das Muster ist nicht neu: Schon bei SureCart und bei Jupiter X Core führte ein Anmeldeweg zum Administratorkonto. Gemeinsam ist den Fällen, dass der Server als Identitätsnachweis nimmt, was niemand bestätigt hat. Eine E-Mail-Adresse belegt erst dann etwas, wenn der Besitzer sie per Link oder Code bestätigt hat.
Vom Hinweis bis zum Update
Das Änderungsprotokoll nennt keine CVE-ID. Der CVE-Eintrag führt 3.7.2 als letzte betroffene Version.
Eine E-Mail-Adresse belegt nichts, jeder kann sie eintippen. Im PayPal-Checkout von EDD genügte sie trotzdem für die Anmeldung als Administrator.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Shop-Betreiber jetzt tun?
- Aktualisieren: Spielen Sie EDD 3.7.3 ein und schalten Sie automatische Updates für das Plugin ein.
- Übergangslösung: Lässt sich das Update nicht sofort einspielen, schalten Sie die PayPal-Zahlungsarten bis dahin ab.
- Bestellungen prüfen: Suchen Sie in der Bestellliste nach Gastbestellungen mit der E-Mail-Adresse eines Administrators.
- Administratoren prüfen: Achten Sie auf unbekannte Konten, geänderte Rollen und Plugins, die Sie nicht installiert haben.
- Passwörter ändern: Bei Verdacht setzen Sie die Passwörter der Administratoren zurück, das beendet bestehende Sitzungen.
Agenturen mit vielen Kunden-Shops filtern in ihren Update-Werkzeugen nach Installationen vor 3.7.3. Lag ein Administratorkonto in fremder Hand, prüfen Betreiber die Meldepflicht nach Art. 33 DSGVO, denn Kundendaten gehören zu den Daten, die Art. 32 schützen soll. Auch das Qode-Mitgliederplugin hatte eine Schwachstelle im Anmeldeweg. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich nennt Hoster, die Plugin-Updates selbst einspielen.
FAQ: Schwere Sicherheitslücke bei Easy Digital Downloads im PayPal-Checkout
Welche Version von Easy Digital Downloads ist sicher?
Der CVE-Eintrag führt Version 3.7.2 als letzte betroffene Version. Version 3.7.3 vom 2. November 2026 verschärft laut Änderungsprotokoll die Kontoprüfung bei PayPal-Bestellungen und ist die sichere Wahl.
Braucht ein Angreifer ein Konto?
Nein. Laut CVE-Eintrag genügt ein Gastkauf mit der E-Mail-Adresse eines Administrators, der in EDD noch keinen Kundeneintrag hat. Der Angreifer muss den PayPal-Ablauf abschließen und erhält dann eine Sitzung als Administrator.
Wird die Lücke schon ausgenutzt?
Bis zum 4. November 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt die Lücke nicht in ihrem Katalog ausgenutzter Schwachstellen.
Wie prüfe ich, ob mein Shop betroffen war?
Suchen Sie in der Bestellliste nach Gastbestellungen mit der E-Mail-Adresse eines Administrators und prüfen Sie die Liste der Administratoren auf unbekannte Konten und Plugins. Bei Verdacht ändern Sie die Passwörter.
Quellen
2 Quellen anzeigenQuellen ausblenden
- WordfenceEintrag zu CVE-2026-120538 (Easy Digital Downloads bis 3.7.2), öffentlich gemacht am 30. Oktober 2026; dazu CVE-Eintrag CVE-2026-120538 und NVD: CVE-2026-120538
- wordpress.orgEasy Digital Downloads, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 4. November 2026; CISA: Known Exploited Vulnerabilities Catalog, abgeglichen am 4. November 2026
Mehr Newshunger?
- SureCart mit über 80.000 Installationen: Schwere Sicherheitslücke gibt Fremden Zugriff aufs Administratorkonto
- Jupiter X Core mit über 70.000 Installationen: Kritische Sicherheitslücke öffnet Fremden das Administratorkonto
- Bridge-Theme: Kritische Sicherheitslücke im Mitglieder-Plugin macht Fremde zu Administratoren
- PDF Invoices mit über 300.000 Installationen: Sicherheitslücke schickt Rechnungen an Fremde
- Menu Cart mit über 70.000 Installationen: Schwere Sicherheitslücke im Warenkorb von WooCommerce-Shops
