Zwei Sicherheitslücken im WordPress-Plugin Razorpay for WooCommerce ließen Fremde ohne Anmeldung auf Bestelldaten zugreifen, eine dritte betrifft Administratoren und den Webhook. Version 4.8.9 vom 4. November schließt alle drei, laut Änderungsprotokoll ist es die dritte Sicherheitskorrektur im Magic Checkout seit Version 4.8.4.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Der Hersteller Razorpay führt im Änderungsprotokoll für Version 4.8.9 die Behebung von drei Fehlern auf: die Offenlegung von Bestellwerten und den Wechsel des Benutzerkontexts im Gutschein-Ablauf des Magic Checkout sowie eine SQL-Injection beim Speichern von Webhook-Ereignissen.[2] Die Datenbank der Sicherheitsfirma WPScan führt die Fälle als CVE-2026-104337 (CVSS 3.1: 5,3, mittel), CVE-2026-104338 (3,7, niedrig) und CVE-2026-104639 (4,1, mittel), die NVD hat die Einträge am 8. November übernommen.[1] Razorpay for WooCommerce läuft laut wordpress.org auf über 100.000 Websites (Stand 10. November).[3] Als Entdecker nennt WPScan Xanlar Agamalizade für die ersten beiden Fälle und J4ck13Ch4n für den dritten. Dr. Web hat zuletzt über eine Lücke im Express-Checkout von WooCommerce Stripe berichtet.
Das Wichtigste in Kürze
- Betroffen sind alle Versionen vor 4.8.9. Zwei der drei Sicherheitslücken lassen sich ohne Konto ausnutzen, die dritte setzt Administratorrechte voraus.
- Gelesen werden kann der Geldwert fremder Bestellungen, nicht deren Kundendaten. Die Identitätsübernahme klappt nur, wenn zusätzlich ein bestimmtes Gutschein-Plugin läuft.
- Angriffe sind nicht bekannt, die Beschreibungen mit Prüfcode will WPScan erst am 20. November veröffentlichen.
Warum fehlte im Checkout die Prüfung, wem eine Bestellung gehört?
Der Gutschein-Ablauf im Magic Checkout rechnet einen Rabatt gegen eine Bestellung aus und gibt das Ergebnis zurück. Laut WPScan prüfte das Plugin dabei nicht, ob die Bestellung dem Anfragenden gehört, sodass sich der Wert beliebiger Bestellungen abfragen ließ, indem man Bestellnummern durchzählt.[1] Wer Nummern fortlaufend vergibt, braucht serverseitig eine Eigentumsprüfung, sonst genügt Zählen. WooCommerce nummeriert Bestellungen standardmäßig aufsteigend. Aus dem Wert lassen sich Umsatz und Warenkorbgrößen eines Shops ablesen, Namen und Adressen gibt dieser Fall nicht preis.
Der zweite Fall betrifft die Identität. Eine Route des Plugins ermittelte laut WPScan den handelnden Benutzer aus einem Parameter der Anfrage, den jeder ohne Anmeldung mitschicken konnte. Die Anfrage lief damit für die Dauer dieses einen Aufrufs im Namen eines beliebigen Kontos.[1] WPScan stuft den Fall mit 3,7 niedrig ein, er setzt ein bestimmtes Gutschein-Plugin voraus. Welches das ist, nennt WPScan nicht. Der dritte Fall betrifft den Webhook, über den Razorpay Zahlungsereignisse an den Shop meldet. Ein Wert aus dieser Meldung floss ungeprüft in eine Datenbankabfrage, ausnutzen können das laut WPScan nur Administratoren, die das Webhook-Geheimnis kennen.
Die Änderungsprotokolle zeigen ein Muster. Version 4.8.4 beseitigte laut Razorpay eine Lücke, bei der Fremde ohne Anmeldung an fremde Bestellungen kamen (CVE-2026-3507), Version 4.8.8 schloss denselben Fehlertyp in einer weiteren Abfrage des Magic Checkout.[2] Jedes Mal fehlte die gleiche Frage an den Server: Gehört das hier dem, der fragt?
Was jeder Fall möglich macht
| Kennung | Folge | Voraussetzung | CVSS 3.1 |
|---|---|---|---|
| CVE-2026-104337 | Geldwert fremder Bestellungen auslesen | kein Konto | 5,3 |
| CVE-2026-104338 | Anfrage im Namen eines beliebigen Kontos ausführen | kein Konto, bestimmtes Gutschein-Plugin | 3,7 |
| CVE-2026-104639 | Datenbankabfrage über den Webhook manipulieren | Administratorrechte und Webhook-Geheimnis | 4,1 |
Bewertungen laut WPScan. Status: offengelegt am 6. November, Korrektur verfügbar, Angriffe nicht bekannt, Prüfcode erst ab 20. November öffentlich.
Wie viele Shops betroffen sind, lässt sich nicht beziffern. Die Versionsstatistik von wordpress.org weist Zweige aus, keine Patch-Versionen: Rund 82 Prozent der Installationen liefen am 10. November auf dem Zweig 4.8, rund 10 Prozent auf 4.7.[3] Anfällig sind aber auch 4.8.0 bis 4.8.8, den ungepatchten Anteil verrät die Statistik also nicht. Ob die Funktionen ohne Magic Checkout erreichbar sind, klären die Quellen nicht. Razorpay ist ein indischer Zahlungsdienstleister, in deutschen Shops dürfte das Plugin selten laufen. Agenturen mit Kundenshops für den indischen Markt sind eher betroffen. Wer sich für ähnliche Fälle interessiert, findet sie bei Menu Cart und LiteSpeed Cache.
Eine Bestellnummer ist keine Zugangsberechtigung. Wer sie durchzählen darf, hat im Checkout etwas übersehen.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Shop-Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Razorpay for WooCommerce in Version 4.8.9 oder neuer ein. Prüfen Sie, ob automatische Updates für das Plugin aktiv sind.
- Nutzung klären: Setzen Sie Magic Checkout ein? Falls nicht, ist die Gefahr geringer, das Update bleibt trotzdem sinnvoll.
- Webhook-Geheimnis erneuern: Hatten mehr Personen als nötig Administratorzugang, ändern Sie das Webhook-Geheimnis im Razorpay-Konto und im Shop.
- Bestellungen und Konten prüfen: Fallen ungewöhnlich viele Abrufe von Gutschein-Anfragen im Zugriffsprotokoll auf oder gibt es unbekannte Änderungen an Kundenkonten, sichern Sie die Protokolle.
- Meldepflicht klären: Zeigt sich, dass personenbezogene Daten abgeflossen sind, ist zu prüfen, ob eine Meldung an die Datenschutzaufsicht binnen 72 Stunden nötig ist (Art. 33 DSGVO).[4]
Agenturen mit vielen Kundenshops sollten zuerst die Shops aktualisieren, die Zahlungen über Razorpay abwickeln. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, Managed-Hoster nennt der WordPress-Hosting-Vergleich.
FAQ: Sicherheitslücken bei Razorpay for WooCommerce
Welche Version von Razorpay for WooCommerce schließt die Sicherheitslücken?
Version 4.8.9 vom 4. November 2026 schließt alle drei Sicherheitslücken, betroffen sind alle Versionen davor. Die installierte Version zeigt die Plugin-Liste im WordPress-Backend.
Braucht ein Angreifer ein Konto im Shop?
Nein, zwei der drei Fälle lassen sich laut WPScan ohne Anmeldung ausnutzen. Die dritte Sicherheitslücke setzt Administratorrechte und das Webhook-Geheimnis voraus.
Können Fremde Kundendaten auslesen?
Der Fall ohne Konto zeigt laut WPScan den Geldwert fremder Bestellungen, keine Namen oder Adressen. Der Fall mit Kontowechsel verlangt ein bestimmtes Gutschein-Plugin, das WPScan nicht nennt.
Wird die Sicherheitslücke schon ausgenutzt?
Bis zum 10. November 2026 sind keine Angriffe bekannt. WPScan veröffentlicht die Beschreibungen mit Prüfcode am 20. November, Updates sollten vorher laufen.
Quellen
4 Quellen anzeigenQuellen ausblenden
- WPScanCVE-2026-104337, CVE-2026-104338 und CVE-2026-104639, Bewertung nach CVSS 3.1, veröffentlicht am 6. November 2026, NVD-Übernahme am 8. November 2026
- wordpress.orgÄnderungsprotokoll von Razorpay for WooCommerce (Versionen 4.8.4 bis 4.8.9), abgerufen am 10. November 2026
- wordpress.orgRazorpay for WooCommerce, aktive Installationen und Versionsverteilung, abgerufen am 10. November 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- Sicherheitslücke bei WooCommerce Stripe im Express-Checkout
- Menu Cart mit über 70.000 Installationen: Schwere Sicherheitslücke im Warenkorb von WooCommerce-Shops
- JTL-Connector für WooCommerce: kritische Sicherheitslücke, Update nur von Hand
- Schwere Sicherheitslücke bei LiteSpeed Cache im Warenkorb
- Schwere Sicherheitslücke bei Easy Digital Downloads im PayPal-Checkout
