Ohne Konto konnten Angreifer Schadcode in Online-Shops einschleusen, die das Plugin Menu Cart for WooCommerce mit seiner Warenkorb-Seitenleiste nutzen. Ausgeführt wird er im Browser anderer Besucher, auch im Browser eines angemeldeten Administrators. Version 3.2.1 vom 19. Oktober schließt die Lücke, betroffen sind laut Code-Vergleich von Dr. Web nur die Versionen seit Anfang August.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenGemeldet hat die Lücke der Sicherheitsforscher Jakub Herman über die Schwachstellendatenbank WPScan, die sie am 26. Oktober veröffentlichte. Seit dem 28. Oktober führt die US-Datenbank NVD sie unter der Kennung CVE-2026-105972. Menu Cart for WooCommerce des Herstellers WP Overnight zeigt im Navigationsmenü einer Website ein Warenkorb-Symbol mit Artikelzahl und Summe an und läuft laut wordpress.org auf über 70.000 Websites (Stand 29. Oktober). WPScan bewertet die Lücke nach CVSS 3.1 mit 7,5 von 10 Punkten (hoch).[1]
Das Wichtigste in Kürze
- Menu Cart for WooCommerce vor Version 3.2.1 gibt Angaben zur Produktvariante ungeprüft in der Warenkorb-Seitenleiste aus. Ein Angreifer braucht dafür kein Konto (CVSS 3.1: 7,5, WPScan).
- Die Seitenleiste gibt es seit Version 3.1.0 vom 3. August 2026. Sie ist ab Werk ausgeschaltet, betroffen sind nur Shops, die sie eingeschaltet haben.
- WPScan stuft den Angriff als schwierig ein, das Opfer muss mitwirken. Angriffe sind bisher nicht bekannt, Beispielcode für einen Angriff will WPScan am 26. November veröffentlichen.
Wie gelangt der Schadcode in den Warenkorb?
Seit Version 3.1.0 kann Menu Cart den Warenkorb auf Klick in einer Seitenleiste aufklappen. Dort stehen die Produkte mit ihren Varianten, etwa Größe oder Farbe. Laut WPScan gab das Plugin diese Angaben ohne Maskierung aus, also ohne Sonderzeichen darin unschädlich zu machen. Ein Besucher ohne Konto konnte darüber Skriptcode im Warenkorb ablegen, der laut WPScan auch in der Sitzung eines anderen Nutzers ausgeführt werden kann, etwa eines angemeldeten Administrators.[1] Mit dessen Rechten kann ein Skript Einstellungen ändern oder neue Konten anlegen.
Ganz ungeschützt war die Seitenleiste nicht. Der Vergleich der Versionen 3.2.0 und 3.2.1 im Plugin-Verzeichnis zeigt: Beim ersten Aufbau der Seite filterte das Plugin die Seitenleiste, bevor sie im Browser erschien. Legt ein Kunde aber ein Produkt in den Warenkorb, lädt WooCommerce den Warenkorb im Hintergrund neu, und auf diesem Weg fehlte der Filter. Version 3.2.1 maskiert die Variantenangaben und filtert die Seitenleiste auf jedem Weg.[2] Das Änderungsprotokoll erwähnt dazu nur, dass das Plugin die Warenkorbdaten nun gründlicher maskiert.[3]
Welche Shops sind betroffen?
WPScan nennt alle Versionen vor 3.2.1. Die Seitenleiste und der anfällige Programmteil stecken laut Quellcode aber erst in Version 3.1.0 vom 3. August und in 3.2.0 vom 28. September. Version 3.0.0 und die ältere Versionsreihe 2.14 kennen die Seitenleiste nicht. In den Einstellungen ist sie ab Werk für Desktop und Mobilgeräte ausgeschaltet.[2] Angreifbar ist ein Shop damit nur, wenn der Betreiber die Seitenleiste eingeschaltet hat und eine dieser beiden Versionen einsetzt.
Laut Versionsstatistik von wordpress.org liefen am 29. Oktober knapp 9 Prozent der Installationen auf der Versionsreihe 3.1, die die Lücke in jedem Fall enthält. Weitere 41 Prozent nutzen die Versionsreihe 3.2. Darin zählt die Statistik die anfällige 3.2.0 und die abgesicherte 3.2.1 zusammen. Wie viele Shops die Seitenleiste nutzen, zeigt sie nicht.[3] Der Bewertung zufolge ist der Angriff schwierig und gelingt nur, wenn ein Opfer mitwirkt, etwa durch einen Klick.[4]
Bekannt ist das Muster aus den vergangenen Wochen. Herman meldete auch die Lücken in LiteSpeed Cache, WebP Express und Otter Blocks. In allen drei Fällen maskierte das Plugin die Daten zunächst, ein späterer Verarbeitungsschritt hob den Schutz wieder auf. Bei Menu Cart fehlte der Filter auf einem zweiten Ausgabeweg, dem Hintergrundabruf des Warenkorbs.
Versionsreihen und anfälliger Code
| Reihe | Anteil | Anfälliger Code |
|---|---|---|
| 2.14 | 35,1 % | nein, ohne Seitenleiste |
| 3.1 | 8,8 % | ja, wenn Seitenleiste eingeschaltet |
| 3.2 | 40,7 % | nur 3.2.0, 3.2.1 ist abgesichert |
| übrige | 15,5 % | je nach Version |
Anteile laut Versionsstatistik von wordpress.org am 29. Oktober 2026, gerundet. Anfälliger Code laut Vergleich der Versionen im Plugin-Verzeichnis. Status: offengelegt, Korrektur verfügbar, Angriffe nicht bekannt.
Ein Filter, der nur beim ersten Seitenaufruf greift, schützt keinen Shop, in dem Kunden einkaufen.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Shop-Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Menu Cart for WooCommerce 3.2.1 ein und prüfen Sie in der Plugin-Liste, ob automatische Updates für das Plugin aktiv sind.
- Einstellung prüfen: Klappt der Warenkorb in Ihrem Shop als Seitenleiste auf, war die Website bis zum Update angreifbar. Ist kein Update möglich, schalten Sie die Seitenleiste in den Einstellungen des Plugins vorübergehend ab.
- Konten kontrollieren: Prüfen Sie die Liste der Administratoren und Shop-Manager auf unbekannte Konten und kontrollieren Sie zuletzt geänderte Einstellungen, etwa Zahlungsarten und E-Mail-Adressen.
- Meldepflicht klären: Hatte ein Angreifer Zugriff auf ein Administratorkonto, konnte er Kundendaten und Bestellungen einsehen. Dann ist zu prüfen, ob eine Meldung an die Datenschutzaufsicht binnen 72 Stunden nötig ist (Art. 33 DSGVO).[5]
Bis zum 29. Oktober sind keine Angriffe bekannt. Die US-Behörde CISA führt CVE-2026-105972 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. Agenturen, die viele Shops betreuen, sollten Installationen mit eingeschalteter Seitenleiste aktualisieren, bevor WPScan am 26. November Beispielcode für einen Angriff zeigt. Grundregeln für die Absicherung fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich nennt Managed-Hoster, die Plugin-Updates selbst einspielen.
FAQ: Menu Cart mit über 70.000 Installationen: Schwere Sicherheitslücke im Warenkorb von WooCommerce-Shops
Welche Version von Menu Cart for WooCommerce schließt die Lücke?
Version 3.2.1 vom 19. Oktober 2026 schließt die Lücke CVE-2026-105972. Laut Quellcode steckt der anfällige Programmteil in den Versionen 3.1.0 und 3.2.0. Welche Version läuft, zeigt die Plugin-Liste im WordPress-Backend.
Braucht ein Angreifer ein Konto im Shop?
Nein. Laut WPScan genügt ein Besuch ohne Anmeldung, um Skriptcode über Variantenangaben im Warenkorb abzulegen. Die Bewertung stuft den Angriff aber als schwierig ein, und ein Opfer muss mitwirken.
Ist jeder Shop mit Menu Cart betroffen?
Nein. Angreifbar ist ein Shop nur, wenn der Warenkorb als Seitenleiste aufklappt. Diese Einstellung gibt es seit Version 3.1.0 vom August 2026, ab Werk ist sie ausgeschaltet. Ältere Versionen enthalten den anfälligen Programmteil nicht.
Wird die Lücke schon ausgenutzt?
Bis zum 29. Oktober 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt CVE-2026-105972 nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. WPScan will am 26. November Beispielcode für einen Angriff veröffentlichen.
Quellen
5 Quellen anzeigenQuellen ausblenden
- WPScanMenu Cart for WooCommerce < 3.2.1, Unauthenticated Stored Cross-Site Scripting, veröffentlicht am 26. Oktober 2026, gemeldet von Jakub Herman
- wordpress.org: Quellcode der Versionen 3.0.0, 3.1.0, 3.2.0 und 3.2.1 von Menu Cart for WooCommerce im Plugin-Verzeichnis, eigener Vergleich am 29. Oktober 2026
- wordpress.orgMenu Cart for WooCommerce, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 29. Oktober 2026
- NVDCVE-2026-105972, Bewertung von WPScan nach CVSS 3.1 (AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H), veröffentlicht am 28. Oktober 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- Password Protected mit über 300.000 Installationen: Sicherheitslücke im Freemius-Paket trifft weitere Plugins
- WordPress 7.1.4 schließt 22 Sicherheitslücken, eine davon im Update selbst
- Prime Slider mit über 100.000 Installationen: Schwere Sicherheitslücke öffnet die Kommentarspalte für Schadcode
- Otter Blocks mit über 300.000 Installationen: Fremde konnten geschützte Inhalte lesen
- JTL-Connector für WooCommerce: kritische Sicherheitslücke, Update nur von Hand
