Event Tickets-Schwachstelle kann Stripe-Zahlungen an Angreifer umleiten
CVE-2026-3174 ist eine schwerwiegende Sicherheitslücke im WordPress-Plugin Event Tickets and Registration. Ein nicht authentifizierter Angreifer kann die auf einer Website gespeicherten Stripe-Händlerdaten überschreiben. Dadurch können nachfolgende Ticketzahlungen möglicherweise an ein Stripe-Konto des Angreifers umgeleitet werden.
Die Schwachstelle hat einen CVSS-Score von 7,5 (High) und betrifft Event Tickets bis einschließlich Version 5.27.4. Die Sicherheitslücke wurde mit Version 5.27.4.1 behoben.
Da für einen Angriff kein WordPress-Benutzerkonto erforderlich ist und die Schwachstelle direkten Einfluss auf die Zahlungsabwicklung haben kann, empfiehlt Vservs, betroffene Websites umgehend zu kontrollieren und zu aktualisieren.
Was ist CVE-2026-3174?
CVE-2026-3174 ist eine Missing-Authorization-Schwachstelle im Stripe-OAuth-Return-Endpoint von Event Tickets.
Die betroffene Funktion führt keine ausreichende Berechtigungsprüfung durch, bevor Änderungen an der Stripe-Konfiguration verarbeitet werden. Dadurch kann ein externer Angreifer ohne vorherige Anmeldung die von Event Tickets gespeicherten Stripe-Händlerdaten überschreiben.
Betroffen sind unter anderem:
- Stripe Access Tokens;
- Stripe Publishable Keys;
- die ID des verbundenen Stripe-Kontos.
Werden diese Daten durch Zugangsdaten eines vom Angreifer kontrollierten Stripe-Kontos ersetzt, können nachfolgende Zahlungen vom legitimen Händler weg und zum Konto des Angreifers umgeleitet werden.
Welche Event Tickets-Versionen sind betroffen?
- Event Tickets bis einschließlich Version 5.27.4 ist verwundbar.
- Version 5.27.4.1 enthält den Security-Fix für CVE-2026-3174.
- Neuere stabile Versionen enthalten ebenfalls die Korrektur.
Vservs empfiehlt, nach Möglichkeit direkt auf die aktuellste stabile Version von Event Tickets zu aktualisieren und nicht lediglich bei der minimal gepatchten Version 5.27.4.1 zu bleiben.
Warum ist diese Schwachstelle gefährlich?
CVE-2026-3174 ermöglicht nicht direkt die Übernahme eines WordPress-Administratorkontos oder Remote Code Execution. Die möglichen Auswirkungen sind jedoch insbesondere für Websites mit realen Ticketverkäufen erheblich.
Ein Angreifer kann die von Event Tickets verwendete Stripe-Konfiguration manipulieren, ohne sich zuvor bei WordPress anmelden zu müssen.
Nach einer erfolgreichen Ausnutzung können Besucher weiterhin einen scheinbar normalen Ticket-Checkout verwenden, während die Zahlungsabwicklung möglicherweise über ein vom Angreifer kontrolliertes Stripe-Konto erfolgt.
Für Veranstalter, Unternehmen und andere Organisationen, die Event Tickets für bezahlte Veranstaltungen einsetzen, entsteht dadurch ein unmittelbares finanzielles Risiko.
Was kann ein Angreifer erreichen?
Durch eine erfolgreiche Ausnutzung von CVE-2026-3174 kann die legitime Stripe-Händlerkonfiguration durch eine manipulierte Konfiguration ersetzt werden.
Mögliche Folgen sind:
- Umleitung neuer Ticketzahlungen auf ein Stripe-Konto des Angreifers;
- Überschreiben der legitimen Stripe-Konfiguration;
- Verlust von Einnahmen aus Ticketverkäufen;
- Abweichungen zwischen WordPress-Bestellungen und tatsächlichen Stripe-Zahlungen;
- finanzielle und administrative Probleme bei der Abstimmung von Transaktionen.
Die Schwachstelle wurde mit CVSS 3.1 7,5 (High) bewertet. Der Vektor lautet AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N. Der Angriff ist über das Netzwerk möglich, erfordert keine vorherigen Berechtigungen und benötigt keine Benutzerinteraktion.
Wird CVE-2026-3174 bereits aktiv ausgenutzt?
Zum Zeitpunkt der Veröffentlichung liegen Vservs keine zuverlässigen Hinweise auf eine bestätigte aktive Ausnutzung von CVE-2026-3174 in größerem Umfang vor.
Patchstack stuft die Schwachstelle als High Priority ein und warnt vor dem möglichen Risiko automatisierter Angriffe. Dies ist jedoch nicht gleichbedeutend mit einer bestätigten aktiven Ausnutzung.
Aufgrund der fehlenden Authentifizierung und der möglichen direkten finanziellen Auswirkungen sollten Administratoren nicht auf Hinweise über aktive Angriffe warten, bevor sie das Plugin aktualisieren.
Was sollten WordPress-Administratoren jetzt tun?
- Kontrollieren, ob Event Tickets and Registration installiert ist.
- Die aktuell installierte Plugin-Version überprüfen.
- Bei Version 5.27.4 oder älter sofort aktualisieren.
- Nach Möglichkeit die aktuellste stabile Version von Event Tickets installieren.
- Das mit Event Tickets verbundene Stripe-Konto kontrollieren.
- Sicherstellen, dass die gespeicherte Stripe-Konto-ID tatsächlich zur eigenen Organisation gehört.
- Aktuelle Stripe-Zahlungen und Auszahlungen kontrollieren.
- Event Tickets vollständig entfernen, wenn das Plugin nicht mehr benötigt wird.
Das Aktualisieren des Plugins schließt die bekannte Sicherheitslücke. Bei Websites, die zuvor mit einer verwundbaren Version öffentlich erreichbar waren, sollte jedoch zusätzlich die bestehende Stripe-Konfiguration kontrolliert werden.
Stripe-Konfiguration nach dem Update kontrollieren
Da CVE-2026-3174 gezielt die Änderung von Stripe-Zugangsdaten ermöglicht, macht ein Plugin-Update mögliche Manipulationen, die bereits vor dem Update stattgefunden haben, nicht automatisch rückgängig.
Administratoren sollten deshalb insbesondere folgende Punkte überprüfen:
- die in Event Tickets hinterlegte Stripe-Konto-ID;
- das Stripe-Händlerkonto, das aktuell Zahlungen empfängt;
- verbundene Anwendungen und Integrationen innerhalb von Stripe;
- aktuelle Zahlungen und deren tatsächliches Zielkonto;
- aktuelle Auszahlungen und deren Zielkonten;
- unerwartete Änderungen an der Stripe-Konfiguration.
Gibt es Hinweise darauf, dass Stripe-Zugangsdaten ersetzt oder manipuliert wurden, sollten die betreffenden Access Tokens und API-Zugangsdaten erneuert und der Vorfall weiter untersucht werden.
Kontrolle auf eine mögliche Kompromittierung
Die bekannte Schwachstelle betrifft in erster Linie die Integrität der Stripe-Konfiguration und ermöglicht keine bekannte direkte Remote Code Execution. Eine erste Untersuchung sollte sich deshalb insbesondere auf die Zahlungsinformationen und Anfragen an den betroffenen Endpoint konzentrieren.
Administratoren sollten unter anderem folgende Bereiche kontrollieren:
- Event Tickets-Einstellungen auf unbekannte Stripe-Kontoinformationen;
- Webserver-Access-Logs auf ungewöhnliche Requests an Stripe-OAuth- oder Return-Endpoints;
- WordPress- und Plugin-Logs rund um einen möglichen Änderungszeitpunkt;
- Stripe-Logs auf unerwartete Autorisierungen oder Kontoänderungen;
- aktuelle Transaktionen auf Zahlungen, die das erwartete Händlerkonto nicht erreicht haben;
- WordPress-Administratorkonten auf unbekannte Benutzer;
- andere Payment-Plugins und Integrationen auf unerwartete Konfigurationsänderungen.
Das Vorhandensein einer verwundbaren Event Tickets-Version bedeutet nicht automatisch, dass die Stripe-Zugangsdaten der Website kompromittiert wurden.
Eine unbekannte Stripe-Konto-ID, nicht nachvollziehbare Änderungen der Zugangsdaten oder fehlende Zahlungen sollten jedoch als möglicher Sicherheits- und Finanzvorfall behandelt werden.
Was tun bei verdächtigen Stripe-Änderungen?
Wird ein unbekanntes Stripe-Konto oder eine andere nicht autorisierte Konfigurationsänderung entdeckt, sollte der Vorfall nicht lediglich als normales WordPress-Plugin-Update behandelt werden.
Relevante Logs sollten gesichert, möglicherweise betroffene Transaktionen kontrolliert und kompromittierte Zugangsdaten erneuert werden. Zusätzlich sollte untersucht werden, wann und auf welche Weise die Konfiguration geändert wurde.
Das legitime Stripe-Konto sollte dabei direkt über Stripe kontrolliert werden. Verlassen Sie sich bei einer möglichen Kompromittierung nicht ausschließlich auf die innerhalb von WordPress angezeigten Informationen.
Vservs Managed WordPress
Bei Vservs Managed WordPress werden WordPress Core, Plugins und Themes technisch verwaltet. Der Service umfasst unter anderem Security-Updates, Security-Hardening, Monitoring, Backups und das technische WordPress-Management.
CVE-2026-3174 zeigt, dass Sicherheitslücken in WordPress-Plugins nicht ausschließlich zu Malware oder einer Website-Übernahme führen können. Schwachstellen in E-Commerce-, Ticket- und Payment-Plugins können auch direkten Einfluss auf Zahlungsströme und damit auf die Einnahmen eines Unternehmens haben.