Sicherheitslücken in WooCommerce-Erweiterungen und Bookly
Wordfence meldet Sicherheitslücken in Shop-Erweiterungen, darunter eine zum 1. Oktober 2026 ungepatchte Upload-Lücke in Request a Quote.
Wordfence hat für den Zeitraum vom 21. bis 27. September 2026 insgesamt 318 veröffentlichte Schwachstellen in seine Datenbank aufgenommen. Der Bericht vom 1. Oktober 2026 nennt auch mehrere WooCommerce-Erweiterungen und Buchungsplugins. Betreiber betroffener Installationen sollten ihre Versionsstände abgleichen und verfügbare Sicherheitskorrekturen einspielen. Für einzelne Lücken war laut Bericht noch keine Korrektur verfügbar.
Welche Erweiterungen betroffen sind
Bei Request a Quote for WooCommerce mit dem Plugin-Kürzel woocommerce-request-a-quote sind Versionen bis einschließlich 2.9.2 von einer kritischen Upload-Lücke betroffen. Angreifer können darüber ohne Anmeldung beliebige Dateien hochladen. Wordfence bewertet die Schwachstelle mit 9,8 im CVSS-System, einer Skala zur Bewertung des Schweregrads von Sicherheitslücken. Im Bericht vom 1. Oktober 2026 war sie als nicht behoben verzeichnet.
Davon zu unterscheiden ist YITH Request a Quote for WooCommerce: Dort betrifft eine andere, im Bericht als behoben markierte Zugriffslücke Versionen unter 4.46.1. Die ähnlich benannten Erweiterungen dürfen beim Versionsabgleich nicht verwechselt werden.
Customer Reviews for WooCommerce bis einschließlich 5.120.0 erlaubt wegen einer fehlenden Berechtigungsprüfung das Löschen beliebiger Medienanhänge ohne Anmeldung. Auch diese kritische Schwachstelle war laut Bericht behoben.
Für Bookly bis einschließlich 28.2 nennt Wordfence unter anderem die Offenlegung von Buchungstokens, also Kennungen für den Zugriff auf Buchungen, sowie das Löschen von Buchungen ohne Anmeldung. Eine weitere Lücke ermöglicht das Umgehen der Zahlung. Beide waren im Bericht als behoben markiert.
Was das für Ihren Shop bedeutet
Wenn Sie Bookly für Buchungen einsetzen, sollten Sie die installierte Version prüfen und eine Ausgabe mit den genannten Sicherheitskorrekturen einspielen. Nutzen Sie Angebotsanfragen im B2B-Verkauf, gleichen Sie zunächst den genauen Plugin-Namen und das Plugin-Kürzel ab. Setzen Sie die ungepatchte Variante von Request a Quote in einer betroffenen Version ein, sollten Sie diese bis zu einer verfügbaren Korrektur deaktivieren. Verwenden Sie Customer Reviews for WooCommerce, sollten Sie ebenfalls den Versionsstand kontrollieren und die bereitgestellte Korrektur installieren.