SureCart, das Shop-Plugin mit über 80.000 Installationen, ließ Fremde bis Version 4.9.5 den Anmeldecode eines beliebigen Kontos durchprobieren, auch den eines Administrators. Der Code hat nur sechs Ziffern, und eine Sperre nach Fehlversuchen fehlte. Seit dem 16. Oktober hat der Hersteller den Ablauf in vier Updates nachgebessert, die aktuelle Version 4.12.0 erschien am 3. November.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Wordfence hat am 30. Oktober eine Sicherheitslücke im WordPress-Plugin SureCart öffentlich gemacht, betroffen sind alle Versionen bis 4.9.5. Laut wordpress.org läuft das Plugin auf über 80.000 Websites. Wordfence bewertet CVE-2026-120574 nach CVSS 3.1 mit 8,1 von 10 Punkten, Stufe hoch. Ein Konto braucht der Angreifer nicht.[1][2]
Das Wichtigste in Kürze
- Der Anmeldeweg per Einmalcode in SureCart ließ sich bis 4.9.5 ohne Anmeldung durchprobieren.
- Gelingt das, setzt das Plugin das Anmelde-Cookie für ein Konto jeder Rolle, auch für einen Administrator.
- Der Hersteller hat den Ablauf seit 16. Oktober in vier Versionen verschärft, aktuell ist 4.12.0.
- Angriffe sind bis zum 4. November nicht bekannt.
Wie lässt sich ein Anmeldecode erraten?
Mit dem Einmalcode melden sich Kunden ohne Passwort an: Das Plugin schickt einen sechsstelligen Code, den der Kunde eingibt. Laut CVE-Eintrag nimmt die zuständige Schnittstelle diese Eingabe von jedem entgegen, ordnet den genannten Nutzer zu, prüft den Code und setzt bei Erfolg das Anmelde-Cookie, für ein Konto jeder Rolle.[1]
In den betroffenen Versionen fehlte nach dem Eintrag jede Bremse: kein Zähler für Fehlversuche je Konto, keine dauerhafte Sperre nach E-Mail-Adresse oder IP-Adresse, keine Ausnahme für Konten mit hohen Rechten. Die Drosselung des vorgeschalteten Content-Delivery-Netzes lässt sich mit wechselnden IP-Adressen umgehen. Den Code selbst kann ein Angreifer über eine zweite, ebenfalls offene Schnittstelle für jeden Nutzer auslösen. Sechs Ziffern ergeben eine Million Möglichkeiten, und ohne Zähler ist das eine Frage der Anfragen, nicht der Raffinesse.[1]
Folge ist laut Eintrag die Übernahme eines Administratorkontos. In einem Shop heißt das Zugriff auf Bestellungen und Kundendaten, außerdem lässt sich über den Plugin-Upload Schadcode einspielen. Wordfence setzt die Angriffskomplexität auf hoch, ein Angreifer muss also viele Anfragen senden.
Vier Updates in drei Wochen
Laut CVE-Eintrag erfuhr SureCart am 9. Oktober von der Lücke, gemeldet von einem Forscher unter dem Namen hamachi_jp. Version 4.9.6 vom 16. Oktober verschärft laut Änderungsprotokoll den Ablauf des Code-Logins, mit Dank an Wordfence. Danach erschienen 4.10.0 am 20. Oktober (Dank an Patchstack), 4.11.0 am 28. Oktober mit begrenzten Code-Mails und 4.12.0 am 3. November.[2]
Das Protokoll spricht nur von verbesserter Sicherheit und nennt keine CVE-ID. Welche Version welchen Weg schließt, geht daraus nicht hervor; der Eintrag führt 4.9.5 als letzte betroffene Version. Mit 4.12.0 sind Betreiber auf dem aktuellen Stand. Laut Versionsstatistik von wordpress.org liefen am 4. November 26,2 Prozent der Installationen in der Versionsreihe 4.9, die 4.9.5 und 4.9.6 umfasst, und 29,8 Prozent auf 4.10 und 4.11. Die Rubrik „andere“ mit 44 Prozent schlüsselt die Statistik nicht auf. Die US-Behörde CISA führt die Lücke nicht in ihrem Katalog ausgenutzter Schwachstellen.[2]
Für SureCart ist es nicht die erste Konto-Übernahme in diesem Jahr. Im Juli meldete Wordfence eine Lücke bis 4.2.3, bei der ein gefälschter Webhook die E-Mail-Adresse eines verknüpften Nutzers änderte (8,1 Punkte). Im September folgte eine Lücke vor 4.6.3, mit der schon ein Abonnentenkonto die Adresse eines Administrators ändern konnte.[3] Der fehlende Zähler erinnert an den Security Optimizer, dessen Zwei-Faktor-Codes sich ebenfalls beliebig oft raten ließen. Das US-Normungsinstitut NIST verlangt in seinen Authentifizierungsrichtlinien, Fehlversuche bei kurzen Codes zu begrenzen, höchstens 100 aufeinanderfolgende.[4]
Vom Hinweis bis zum vierten Update
Das Änderungsprotokoll nennt keine CVE-ID. Der CVE-Eintrag führt 4.9.5 als letzte betroffene Version.
Sechs Ziffern schützen ein Konto nur, solange der Server die Fehlversuche zählt. Bei SureCart fehlte genau dieser Zähler.
Michael Dobler, Herausgeber Dr. Web
Was sollten Shop-Betreiber jetzt tun?
- Aktualisieren: Spielen Sie SureCart 4.12.0 ein und schalten Sie automatische Updates für das Plugin ein.
- Administratoren prüfen: Suchen Sie nach unbekannten Konten, geänderten Rollen und Plugins, die Sie nicht installiert haben.
- Passwörter ändern: Bei Verdacht setzen Sie die Passwörter der Administratoren zurück, das beendet bestehende Sitzungen.
Agenturen mit vielen Kunden-Shops filtern in ihren Update-Werkzeugen nach Installationen vor 4.12.0. Lag ein Administratorkonto in fremder Hand, prüfen Betreiber die Meldepflicht nach Art. 33 DSGVO, denn Kundendaten gehören zu den Daten, die Art. 32 schützen soll. Dass ein Login-Weg zum Administratorkonto führt, gab es zuletzt bei Jupiter X Core und im Qode-Mitgliederplugin. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Der WordPress-Hosting-Vergleich nennt Hoster, die Plugin-Updates selbst einspielen.
FAQ: SureCart mit über 80.000 Installationen: Schwere Sicherheitslücke gibt Fremden Zugriff aufs Administratorkonto
Welche Version von SureCart ist sicher?
Der CVE-Eintrag führt Version 4.9.5 als letzte betroffene Version. Die aktuelle Version 4.12.0 vom 3. November 2026 enthält zusätzlich weitere Verschärfungen des Code-Logins und ist die sichere Wahl.
Braucht ein Angreifer ein Konto?
Nein. Laut CVE-Eintrag nimmt die Schnittstelle des Code-Logins Eingaben ohne Anmeldung entgegen, ein Angreifer kann den Code für jeden Nutzer auslösen und durchprobieren. Wordfence nennt als Folge die Übernahme eines Administratorkontos.
Wird die Lücke schon ausgenutzt?
Bis zum 4. November 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt die Lücke nicht in ihrem Katalog ausgenutzter Schwachstellen und stuft die Ausnutzung in ihrer Bewertung mit „keine“ ein.
Warum ist ein sechsstelliger Code unsicher?
Sechs Ziffern ergeben eine Million Möglichkeiten. Ohne Zähler für Fehlversuche lässt sich der Code mit vielen automatischen Anfragen erraten. Die Bremse des vorgeschalteten Netzes umgingen Angreifer laut Eintrag mit wechselnden IP-Adressen.
Was sollten Betreiber nach dem Update tun?
Prüfen Sie die Liste der Administratoren auf unbekannte Konten und Plugins. Bei Verdacht ändern Sie die Passwörter, das beendet bestehende Sitzungen. Lagen Kundendaten offen, prüfen Sie die Meldepflicht nach Art. 33 DSGVO.
Quellen
4 Quellen anzeigenQuellen ausblenden
- WordfenceSureCart <= 4.9.5 – Unauthenticated Account Takeover, öffentlich gemacht am 30. Oktober 2026; dazu CVE-Eintrag CVE-2026-120574 und NVD: CVE-2026-120574
- wordpress.orgSureCart, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 4. November 2026; CISA: Known Exploited Vulnerabilities Catalog, abgeglichen am 4. November 2026
- NVDCVE-2026-7655 (SureCart bis 4.2.3, Juli 2026) und CVE-2026-18480 (SureCart vor 4.6.3)
- NISTSpecial Publication 800-63B, Digital Identity Guidelines: Authentication and Lifecycle Management, Abschnitt zur Begrenzung von Fehlversuchen
Mehr Newshunger?
- Security Optimizer mit über 1 Million Installationen: Zwei-Faktor-Codes ließen sich beliebig oft raten
- Jupiter X Core mit über 70.000 Installationen: Kritische Sicherheitslücke öffnet Fremden das Administratorkonto
- Bridge-Theme: Kritische Sicherheitslücke im Mitglieder-Plugin macht Fremde zu Administratoren
- Everest Forms mit über 90.000 Installationen: Sicherheitslücke legt Zugangsdaten offen, erst der zweite Fix hilft
- Menu Cart mit über 70.000 Installationen: Schwere Sicherheitslücke im Warenkorb von WooCommerce-Shops
