Sicherheitslücke bei WooCommerce Stripe im Express-Checkout

Das Stripe-Plugin für WooCommerce hat in Version 10.9.0 Passwörter von Kunden im Klartext in den Bestelldaten abgelegt, sobald sie per Express-Checkout bezahlten und dabei ein Konto anlegten. Version 11.1.0 vom 13. Oktober entfernt die Passwörter wieder, doch als Sicherheitslücke steht der Fehler erst seit dem 9. November in der NVD. Laut wordpress.org zählt das Plugin mehr als 700.000 aktive Installationen.

Die US-Schwachstellendatenbank NVD hat am 9. November die Sicherheitslücke CVE-2026-123145 im Plugin WooCommerce Stripe Payment Gateway veröffentlicht, Vergabestelle ist WPScan.^[1] Betroffen sind Shops, in denen Kunden beim Bestellen ein eigenes Passwort wählen.

Wie gelangt ein Passwort in die Bestelldaten?

WooCommerce hängt an jede Bestellung Metadaten, in der Datenbank sind das gewöhnliche Textfelder. Beim Express-Checkout über Apple Pay oder Google Pay hat das Plugin laut Eintrag auch das Passwort mitgespeichert, das ein Kunde beim Anlegen seines Kontos gewählt hat. Das Passwort stand unverschlüsselt in der Datenbank.^[1][3] Im Kundenkonto selbst speichert WordPress Passwörter nur als Hash, also als nicht umkehrbare Prüfsumme. Das Klartextfeld an der Bestellung umging diesen Schutz.

Das Feld ist für alle sichtbar, die Bestelldaten einsehen dürfen: Administratoren, Shop-Manager und jeder mit einer Kopie der Datenbank. Je nach Einrichtung kommen Bestellexporte, Buchhaltungs- und Versand-Plugins sowie Sicherungen hinzu, die Bestelldaten enthalten. Laut Eintrag gelten die gespeicherten Passwörter deshalb als offengelegt.^[1] Die Zahl der Stellen, an denen ein Passwort nicht liegen sollte, macht den Fehler gefährlich. Viele Kunden verwenden dasselbe Passwort bei mehreren Diensten. Findet jemand es in einer Sicherung, probiert er es zum Beispiel beim E-Mail-Konto des Kunden aus.

Betroffen ist laut Eintrag jede Version vor 11.1.0. Das Änderungsprotokoll ordnet den Fehler Version 10.9.0 vom 17. August 2026 zu und führt die Entfernung der Passwortdaten unter 11.1.0 vom 13. Oktober auf.^[3] Gespeichert wurde nur dort, wo 10.9.0 lief, Kunden den Express-Checkout nutzten und ein eigenes Passwort wählten. Am 9. November liefen 42,9 Prozent der Installationen auf der Reihe 11.1 und 57,1 Prozent auf älteren Reihen.^[2] Wie viele Shops tatsächlich Passwörter gespeichert haben, lässt sich daraus nicht ablesen.

Warum fällt so ein Fehler erst spät auf?

Der Fix liegt seit fast vier Wochen vor, als Sicherheitslücke steht der Fehler aber erst seit dem 9. November in der NVD. Das Änderungsprotokoll beschreibt ihn nüchtern als Passwortdaten, die in den Metadaten der Bestellung gespeichert worden sein könnten.^[3] Betreiber, die nur auf Meldungen mit Schweregrad achten, übersehen solche Einträge.

Kundendaten in WooCommerce-Shops waren in den vergangenen Wochen mehrfach Thema. Bei PDF Invoices & Packing Slips ließen sich Rechnungen fremder Kunden abrufen, bei LiteSpeed Cache Anschrift und Telefonnummer eines früheren Kunden. Dort musste ein Fremder die Daten holen. Beim Stripe-Plugin liegen sie ohne Zutun eines Angreifers an der falschen Stelle. Jede Kopie der Datenbank nimmt sie mit.

Der Stand: offengelegt (NVD, 9. November), Patch verfügbar (11.1.0 seit 13. Oktober, das Update entfernt die gespeicherten Passwörter), Exploit-Code und Angriffe nicht belegt.

Was sollten Betreiber jetzt tun?

• Aktualisieren: Spielen Sie WooCommerce Stripe Payment Gateway in Version 11.1.1 ein. Das Update entfernt laut Eintrag gespeicherte Passwörter aus den Bestellungen. Schalten Sie automatische Updates für das Plugin ein.
• Sicherungen prüfen: Datenbanksicherungen und Exporte aus der Zeit zwischen dem 17. August und dem Update können die Passwörter noch enthalten. Löschen Sie nicht mehr benötigte Kopien oder schützen Sie sie wie Zugangsdaten.
• Kunden schützen: Haben Kunden in dieser Zeit per Express-Checkout ein Konto angelegt, lassen Sie deren Passwörter zurücksetzen und raten Sie ihnen, dasselbe Passwort bei anderen Diensten zu ändern.
• Zugriffe klären: Prüfen Sie, wer auf Bestelldaten zugreifen darf und welche Plugins sie exportieren.
• Übergangsweise abschalten: Läuft noch Version 10.9.0 und lässt sich das Update nicht sofort einspielen, deaktivieren Sie den Express-Checkout in den Plugin-Einstellungen.

Agenturen mit vielen Kundenshops filtern ihre Wartungswerkzeuge nach dem Plugin und allen Versionen unter 11.1.0. Passwörter in Bestelldaten sind personenbezogene Daten, Art. 32 DSGVO verlangt dafür ein angemessenes Schutzniveau. Ob die Meldepflicht nach Art. 33 DSGVO greift, hängt davon ab, ob Unbefugte tatsächlich Zugriff hatten. Dann gilt die Frist von 72 Stunden ab Bekanntwerden. Halten Sie den Fall auf jeden Fall mit Datum und Maßnahmen fest, im Zweifel hilft der Datenschutzbeauftragte. Das ist keine Rechtsberatung.

Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, den Rahmen für kleine Unternehmen beschreiben die Cybersecurity-Grundlagen. Im WordPress-Hosting-Vergleich finden Betreiber Anbieter, die Updates und Überwachung übernehmen. Soll die Betreuung des Shops an Dritte gehen, hilft der WooCommerce-Agentur-Vergleich.

FAQ: Sicherheitslücke bei WooCommerce Stripe

Quellen

Mehr Newshunger?

• PDF Invoices mit über 300.000 Installationen: Sicherheitslücke schickt Rechnungen an Fremde
• Schwere Sicherheitslücke bei LiteSpeed Cache im Warenkorb
• SureCart mit über 80.000 Installationen: Schwere Sicherheitslücke gibt Fremden Zugriff aufs Administratorkonto
• Schwere Sicherheitslücke bei Easy Digital Downloads im PayPal-Checkout
• Menu Cart mit über 70.000 Installationen: Schwere Sicherheitslücke im Warenkorb von WooCommerce
• JTL-Connector für WooCommerce: kritische Sicherheitslücke, Update nur von Hand