WooCommerce: Sicherheitslücke betrifft Versionen vor 11.1.0
Wordfence meldet eine behobene Sicherheitslücke in WooCommerce vor Version 11.1.0 sowie weitere Schwachstellen in Shop-Erweiterungen.
WooCommerce 11.1.0 behebt laut Wordfence eine Sicherheitslücke, die Angreifer ohne Anmeldung für eine Dienstblockade ausnutzen können. Betroffen sind Versionen vor 11.1.0. Betreiber entsprechender Shops sollten ihre installierte Version prüfen und auf einen Stand mit dieser Korrektur wechseln. Eine solche Dienstblockade, auch Denial of Service genannt, kann die Erreichbarkeit des Shops beeinträchtigen.
Die Angaben stammen aus dem am 17. September 2026 veröffentlichten Sicherheitsbericht für den Zeitraum vom 7. bis 13. September 2026. Insgesamt erfasste Wordfence darin 259 Schwachstellen in 207 WordPress-Plugins. Nach dem dokumentierten Stand waren 224 Lücken geschlossen, eine teilweise behoben und 34 ohne Korrektur.
Weitere betroffene Shop-Erweiterungen
Bei MIPL Checkout Fields Manager for WooCommerce betrifft eine kritische Lücke Versionen bis einschließlich 1.2.2: Ohne Anmeldung lassen sich beliebige Dateien hochladen. Advanced Product Fields Extended for WooCommerce erlaubt bis einschließlich Version 3.1.6 das Löschen beliebiger Dateien ohne Anmeldung. Für beide Schwachstellen verzeichnet der Bericht eine Korrektur, nennt im vorliegenden Text aber keine bereinigte Versionsnummer.
Auch Buchungs- und Angebotsfunktionen sind betroffen. Amelia ermöglicht in den Versionen 9.0 bis 9.8.0 das Umgehen der Zahlung ohne Anmeldung. ELEX WooCommerce Request a Quote ist bis einschließlich 2.4.0 für eingeschleuste Datenbankbefehle anfällig, eine sogenannte SQL-Injection. Beide Lücken waren laut Bericht behoben.
Für Direct Download for WooCommerce bis einschließlich 1.19 dokumentiert Wordfence dagegen das Auslesen beliebiger Dateien ohne Anmeldung. Diese Schwachstelle war zum Stand des Berichts nicht geschlossen.
Was das für Ihren Shop bedeutet
Wenn Sie Buchungen mit Amelia anbieten, sollten Sie den genannten Versionsbereich mit Ihrer Installation abgleichen und gegebenenfalls eine korrigierte Fassung einspielen. Nutzen Sie ELEX WooCommerce Request a Quote für Angebotsanfragen im B2B-Geschäft, gehört diese Erweiterung ebenfalls auf Ihre Prüfliste. Prüfen Sie unabhängig davon die WooCommerce-Version, denn die gemeldete Dienstblockade betrifft das Shopsystem selbst. Bei Direct Download for WooCommerce sollten Sie den Behebungsstatus gesondert prüfen, da der Bericht vom 17. September 2026 noch keine Korrektur ausweist.