PDF Invoices mit über 300.000 Installationen: Sicherheitslücke schickt Rechnungen an Fremde

Im WooCommerce-Plugin PDF Invoices & Packing Slips konnten Fremde ohne Konto die vollständige Rechnung eines anderen Kunden an die eigene E-Mail-Adresse holen. Wordfence machte die Sicherheitslücke am 30. Oktober öffentlich, zusammen mit einer zweiten, über die Schadcode aus einer Gastbestellung im Browser des Shop-Administrators landen konnte. Version 5.16.6 vom 22. Oktober schließt beide.

Das Plugin des Herstellers WP Overnight erzeugt Rechnungen und Lieferscheine für WooCommerce-Shops und hängt sie auf Wunsch an die E-Mails zur Bestellung. Laut wordpress.org läuft es auf über 300.000 Websites. Die Rechnungslücke trägt die Kennung CVE-2026-109217, Wordfence bewertet sie nach CVSS 3.1 mit 5,3 von 10 Punkten, also mittel. Ausnutzen lässt sie sich nur, wenn der Shop seine Rechnungsnummern jedes Jahr neu beginnen lässt.^[1]

Wie kam die fremde Rechnung in die E-Mail?

Bevor das Plugin eine Rechnung an die Bestellbestätigung hängt, legt es sie als PDF-Datei in einem Zwischenordner ab. Entsteht innerhalb von 60 Sekunden eine weitere E-Mail mit einer Datei gleichen Namens, verwendet es die vorhandene Datei erneut, statt sie neu zu erzeugen. Bis Version 5.16.5 unterschied der Zwischenspeicher die Dateien dabei nur am Namen, nicht an der Bestellung, zu der sie gehören.^[2]

Laut Wordfence konnte ein Angreifer das ausnutzen, wenn der Shop seine Rechnungsnummern jährlich zurücksetzt. Löste seine Gastbestellung binnen 60 Sekunden nach der Bestellung eines Opfers mit derselben Rechnungsnummer eine Bestätigung aus, bekam er dessen Rechnung zugeschickt. Darin stehen Name, Rechnungs- und Lieferadresse, private Bestellnotizen, Artikel, Preise und Bestellnummer. Den Fehler gemeldet hat ein Sicherheitsforscher unter dem Pseudonym Santh, Wordfence informierte WP Overnight am 12. Oktober.^[1]

Der niedrige Wert von 5,3 rührt von den engen Bedingungen her: das passende Zeitfenster, die gleiche Nummer und eine Einstellung, die nicht jeder Shop nutzt. Für die Betroffenen wiegt der Fall trotzdem schwer, denn eine Rechnung enthält genau die Angaben, die Betrüger für glaubwürdige Phishing-Mails brauchen.

Warum der erste Fix nicht reichte

Die zweite Lücke reicht weiter zurück. Ende September machte Wordfence öffentlich, dass Fremde über die Felder für Vor- und Nachname oder Firma einer Gastbestellung Schadcode einschleusen konnten, der beim Öffnen des Rechnungsdokuments im Browser lief (CVE-2026-92244, CVSS 3.1: 7,2). Version 5.16.2 vom 22. September sollte das beheben.^[3]

Der neue Filter fing Schadcode aber nur ab, wenn er im Klartext ankam. Als HTML-Entitäten kodiert rutschte er durch und wurde erst bei der Ausgabe wieder zu ausführbarem Code. Diesen unvollständigen Fix meldete der Sicherheitsforscher churchill11 am 8. Oktober an Wordfence (CVE-2026-107750, CVSS 3.1: 7,2), betroffen sind alle Versionen bis 5.16.4.^[4] Parallel fand Karthik Ramakrishnan über die Datenbank WPScan denselben Weg auch für Lieferadresse und Bestellnotiz. WPScan bewertet seine Variante mit 7,5 und will am 29. November Beispielcode für einen Angriff veröffentlichen.^[5]

Gefährlich ist der Weg, weil der Code nicht beim Kunden läuft, sondern beim Shop-Administrator, der die Rechnung prüft. Mit dessen Rechten lassen sich im Hintergrund Einstellungen ändern oder neue Konten anlegen. Version 5.16.5 vom 20. Oktober gibt Adressen, Zusatzfelder und Notizen nur noch bereinigt aus, wie ein Vergleich des Quellcodes mit der Vorgängerversion zeigt.^[2] Ein ähnliches Muster hatte Everest Forms, wo erst der zweite Fix half. Vom selben Hersteller stammt Menu Cart, dessen Lücke im Warenkorb Dr. Web am 29. Oktober gemeldet hat.

Was sollten Shop-Betreiber jetzt tun?

• Aktualisieren: Spielen Sie Version 5.16.6 ein und prüfen Sie unter Plugins, ob automatische Updates für PDF Invoices & Packing Slips aktiv sind.
• Nummernkreis prüfen: Sehen Sie in den Dokumenteinstellungen nach, ob die jährliche Rücksetzung der Rechnungsnummer aktiv ist. Dann war Ihr Shop bis zum Update für die Rechnungslücke anfällig.
• Gastbestellungen sichten: Prüfen Sie Gastbestellungen der vergangenen Wochen auf auffällige Zeichenfolgen in Namens-, Firmen-, Adress- und Notizfeldern und kontrollieren Sie die Liste der Administratorkonten.
• Meldepflicht prüfen: Erhielt ein Fremder eine Kundenrechnung, ist das eine Verletzung des Schutzes personenbezogener Daten. Die Meldung an die Aufsichtsbehörde ist binnen 72 Stunden fällig, außer ein Risiko für die Betroffenen ist unwahrscheinlich (Art. 33 DSGVO).^[7]

Laut der Versionsstatistik von wordpress.org liefen am 31. Oktober 63,1 Prozent der Installationen auf der Versionsreihe 5.16, darunter auch die anfälligen Unterversionen bis 5.16.5. Die übrigen 36,9 Prozent verteilten sich auf ältere Reihen und sind für die Rechnungslücke und den Schadcode aus Gastbestellungen anfällig.^[2] Im Katalog aktiv ausgenutzter Schwachstellen der US-Behörde CISA steht keine der Lücken.^[6] Wie Angreifer WooCommerce-Shops über ein Plugin angreifen, zeigte im Mai die Angriffswelle gegen Funnel Builder, bei der Kriminelle Zahlungsdaten im Bezahlformular abgriffen. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, der WordPress-Hosting-Vergleich nennt Managed-Hoster, die Plugin-Updates selbst einspielen.

FAQ: PDF Invoices mit über 300.000 Installationen: Sicherheitslücke schickt Rechnungen an Fremde

Quellen

Mehr Newshunger?

• Menu Cart mit über 70.000 Installationen: Schwere Sicherheitslücke im Warenkorb von WooCommerce-Shops
• Everest Forms mit über 90.000 Installationen: Sicherheitslücke legt Zugangsdaten offen, erst der zweite Fix hilft
• JTL-Connector für WooCommerce: kritische Sicherheitslücke, Update nur von Hand
• Funnel Builder unter aktiver Skimming-Kampagne: 40.000 WooCommerce-Shops brauchen sofort den Patch