Kritische Sicherheitslücken in Abandoned Cart Pro gefährden WooCommerce-Shops
Die Abandoned Cart Pro Sicherheitslücke betrifft drei schwerwiegende Schwachstellen im WooCommerce-Plugin Abandoned Cart Pro. Zwei dieser Sicherheitsprobleme wurden mit dem kritischen CVSS-Wert 9.8 bewertet. Unter bestimmten Voraussetzungen können nicht authentifizierte Angreifer die Anmeldung umgehen, Benutzerkonten übernehmen, SQL-Injection-Angriffe durchführen oder Administratorrechte erlangen. Betroffen sind sämtliche Plugin-Versionen bis einschließlich 10.8.0. Der Entwickler Tyche Softwares hat die Schwachstellen mit Version 10.8.1 behoben.
Die Sicherheitslücken wurden am 13. Oktober 2026 durch Wordfence Intelligence öffentlich bekannt gegeben. Da WooCommerce-Shops häufig Kundendaten, Bestellungen und weitere sensible Geschäftsinformationen verarbeiten, sollten Websitebetreiber und Hostinganbieter die verfügbaren Sicherheitsupdates unverzüglich installieren.
Was ist die Abandoned Cart Pro Sicherheitslücke?
Die Abandoned Cart Pro Sicherheitslücke umfasst drei voneinander unabhängige Sicherheitsprobleme, die Authentifizierungsmechanismen und Datenbankoperationen innerhalb des WooCommerce-Plugins betreffen.
Abandoned Cart Pro unterstützt Onlineshops dabei, abgebrochene Bestellvorgänge wiederherzustellen. Hierzu können Kunden automatisch Erinnerungen per E-Mail erhalten.
Diese Erinnerungen enthalten häufig personalisierte Wiederherstellungslinks, über die Kunden zu ihrem zuvor verlassenen Warenkorb zurückkehren können.
Sicherheitsforscher haben Schwachstellen bei der Verarbeitung dieser Wiederherstellungslinks sowie bestimmter gespeicherter Warenkorbdaten entdeckt.
Unter bestimmten Voraussetzungen können Angreifer diese Mechanismen manipulieren, um Authentifizierungsprüfungen zu umgehen oder Datenbankabfragen zu beeinflussen.
Die drei Schwachstellen werden unter folgenden CVE-Kennungen geführt:
- CVE-2026-97657 – CVSS 9.8: Umgehung der Authentifizierung und mögliche Übernahme von Benutzerkonten.
- CVE-2026-97668 – CVSS 9.8: SQL-Injection über gespeicherte Warenkorbdaten mit möglicher Rechteausweitung.
- CVE-2026-102251 – CVSS 7.5: SQL-Injection durch manipulierte Warenkorb-Wiederherstellungslinks.
Alle drei Schwachstellen betreffen Abandoned Cart Pro bis einschließlich Version 10.8.0.
CVE-2026-97657: Authentifizierungsumgehung und Kontoübernahme
Die erste kritische Schwachstelle betrifft den Authentifizierungsmechanismus, der beim Wiederherstellen abgebrochener Warenkörbe verwendet wird.
Abandoned Cart Pro erzeugt Wiederherstellungslinks, über die Kunden ihre vorherige Einkaufssitzung erneut öffnen können.
Nach Angaben von Wordfence verwenden verwundbare Versionen eine Kombination aus Verschlüsselung und Nachrichtenauthentifizierung, die unter bestimmten Voraussetzungen umgangen werden kann.
Ein Angreifer, der über einen gültigen Wiederherstellungslink verfügt, kann dessen Inhalt möglicherweise manipulieren und einen veränderten Link erstellen, der einem anderen Benutzerkonto zugeordnet wird.
Eine erfolgreiche Ausnutzung könnte dazu führen, dass ein Angreifer Zugriff auf die Sitzung eines anderen Benutzers erhält, ohne dessen Passwort zu kennen.
Unter bestimmten Bedingungen können auch Administratorenkonten betroffen sein, sofern diese die Voraussetzungen für den Angriff erfüllen.
Dies macht CVE-2026-97657 besonders gefährlich, da die Übernahme eines Administratorenkontos die vollständige Kompromittierung eines WooCommerce-Shops ermöglichen kann.
CVE-2026-97668: Kritische SQL-Injection und Rechteausweitung
Die zweite kritische Schwachstelle betrifft unzureichend abgesicherte Datenbankoperationen bei der Verarbeitung dauerhaft gespeicherter Warenkorbinformationen.
SQL-Injection entsteht, wenn von Angreifern kontrollierte Eingaben ohne ausreichende Absicherung in Datenbankabfragen eingebunden werden.
In verwundbaren Versionen von Abandoned Cart Pro können bestimmte gespeicherte Warenkorbdaten so verarbeitet werden, dass Angreifer Einfluss auf Datenbankoperationen nehmen können.
Laut Wordfence kann eine erfolgreiche Ausnutzung das Auslesen sensibler Informationen oder die Veränderung von Datenbankeinträgen ermöglichen.
Sicherheitsforscher haben außerdem nachgewiesen, dass die Schwachstelle unter bestimmten Voraussetzungen zur Manipulation von WordPress-Benutzerrechten verwendet werden kann.
Dadurch könnte ein Angreifer Administratorrechte erlangen, indem entsprechende Benutzermetadaten verändert werden.
Ein Administratorenzugang ermöglicht weitreichende Änderungen an einem WooCommerce-Shop, einschließlich der Installation von Plugins, der Änderung von Themes und der Verwaltung von Benutzerkonten.
CVE-2026-102251: SQL-Injection über Wiederherstellungslinks
Die dritte Schwachstelle betrifft die Verarbeitung verschlüsselter Informationen innerhalb von Warenkorb-Wiederherstellungslinks.
Nach Angaben von Wordfence können Schwächen bei der Verarbeitung verschlüsselter Wiederherstellungsparameter dazu führen, dass Angreifer Daten manipulieren, die anschließend in SQL-Abfragen verwendet werden.
Unter den dokumentierten Voraussetzungen kann ein Angreifer möglicherweise Datenbankabfragen beeinflussen und Informationen abrufen, die nicht öffentlich zugänglich sein sollten.
Diese Schwachstelle wurde mit CVSS 7.5 bewertet und als hoch eingestuft.
Obwohl der Schweregrad niedriger ausfällt als bei den beiden anderen Sicherheitsproblemen, stellt auch diese Schwachstelle ein erhebliches Risiko für betroffene WooCommerce-Shops dar.
Welche Abandoned-Cart-Pro-Versionen sind betroffen?
Die folgenden Sicherheitsinformationen wurden veröffentlicht:
- Plugin: Abandoned Cart Pro for WooCommerce.
- Entwickler: Tyche Softwares.
- Betroffene Versionen: 10.8.0 und älter.
- Erste sichere Version: 10.8.1.
- Höchster CVSS-Wert: 9.8 – kritisch.
- Sicherheitsupdate veröffentlicht: 8. Oktober 2026.
- Öffentliche Bekanntgabe: 13. Oktober 2026.
Administratoren sollten auf Version 10.8.1 oder eine neuere kompatible Version aktualisieren.
Der offizielle Changelog des Entwicklers bestätigt, dass Version 10.8.1 Sicherheitskorrekturen für die gemeldeten Schwachstellen enthält.
Wie gefährlich ist die Abandoned Cart Pro Sicherheitslücke?
Die Abandoned Cart Pro Sicherheitslücke ist besonders kritisch, weil das betroffene Plugin mit Kundensitzungen, Wiederherstellungslinks und Datenbankeinträgen arbeitet.
Eine erfolgreiche Ausnutzung kann möglicherweise den Zugriff auf Kundenkonten, das Auslesen sensibler Datenbankinformationen oder die Erlangung erhöhter Benutzerrechte ermöglichen.
Für WooCommerce-Shops können unberechtigte Administratorenzugriffe weitreichende Folgen haben.
Ein Angreifer mit ausreichenden Berechtigungen kann möglicherweise Websiteinhalte verändern, schädliche Erweiterungen installieren, zusätzliche Benutzerkonten erstellen oder den Bestellprozess manipulieren.
Abhängig von der Shopkonfiguration und den eingesetzten Zahlungsintegrationen kann ein kompromittiertes Administratorenkonto außerdem weitere Angriffe auf Kunden ermöglichen.
Die tatsächlichen Auswirkungen hängen von der jeweiligen Schwachstelle, den Angriffsvoraussetzungen und den vorhandenen Sicherheitsmaßnahmen ab.
Werden die WooCommerce-Schwachstellen bereits aktiv ausgenutzt?
Mit Stand vom 15. Oktober 2026 liegen keine unabhängig bestätigten öffentlichen Informationen über eine großflächige aktive Ausnutzung dieser drei spezifischen Schwachstellen vor.
Sicherheitsforscher haben die Schwachstellen technisch dokumentiert und mögliche Angriffsszenarien nachgewiesen.
Der Nachweis einer möglichen Ausnutzung bedeutet jedoch nicht automatisch, dass Angreifer die Schwachstellen bereits aktiv gegen produktive Websites einsetzen.
Da zwei der Schwachstellen mit CVSS 9.8 bewertet wurden und Kontoübernahmen beziehungsweise Rechteausweitungen ermöglichen können, sollten betroffene Unternehmen die Behebung priorisieren.
Wie lässt sich überprüfen, ob WooCommerce betroffen ist?
WooCommerce-Administratoren können die installierte Version von Abandoned Cart Pro direkt im WordPress-Dashboard überprüfen.
Melden Sie sich bei WordPress an und öffnen Sie Plugins → Installierte Plugins.
Suchen Sie nach Abandoned Cart Pro for WooCommerce und überprüfen Sie die installierte Versionsnummer.
Wenn Version 10.8.0 oder eine ältere Version installiert ist, wird eine von den gemeldeten Schwachstellen betroffene Version verwendet.
Aktualisieren Sie das Plugin über den offiziellen Update-Mechanismus von Tyche Softwares auf Version 10.8.1 oder neuer.
Da Abandoned Cart Pro ein kommerzielles Plugin ist, sollten Administratoren überprüfen, ob die Lizenz und der Zugriff auf Sicherheitsupdates ordnungsgemäß funktionieren.
Testen Sie nach dem Update, ob Warenkorb-Erinnerungen, Wiederherstellungslinks und automatisierte E-Mail-Funktionen weiterhin korrekt arbeiten.
Welche Maßnahmen sollten WooCommerce-Administratoren ergreifen?
Vservs empfiehlt folgende Sicherheitsmaßnahmen:
- Identifizieren Sie WooCommerce-Shops, die Abandoned Cart Pro verwenden.
- Überprüfen Sie, ob Version 10.8.0 oder eine ältere Version installiert ist.
- Aktualisieren Sie das Plugin unverzüglich auf Version 10.8.1 oder neuer.
- Kontrollieren Sie WordPress-Administratorenkonten auf unbekannte Benutzer.
- Untersuchen Sie unerwartete Änderungen an Benutzerrollen und Berechtigungen.
- Überprüfen Sie Datenbankeinträge auf verdächtige Änderungen an Benutzerrechten.
- Kontrollieren Sie aktuelle Webserver-Protokolle auf ungewöhnliche Anfragen an Warenkorb-Wiederherstellungslinks.
- Überprüfen Sie weitere installierte WooCommerce-Plugins und Themes auf bekannte Schwachstellen.
- Überwachen Sie den Shop auf unerwartete Änderungen am Bestellprozess oder an zahlungsbezogenen Skripten.
Wenn eine Kompromittierung vermutet wird, sollten relevante Protokolle und Beweismittel vor umfangreichen Bereinigungsmaßnahmen gesichert werden.
WooCommerce auf mögliche Kompromittierung überprüfen
Die Installation eines Sicherheitsupdates verhindert die Ausnutzung der behobenen Schwachstellen, entfernt jedoch nicht automatisch bereits vorhandene Schadsoftware oder unberechtigte Änderungen.
Administratoren sollten deshalb zuvor verwundbare Installationen auf verdächtige Aktivitäten untersuchen.
Empfohlene Kontrollen:
- Überprüfen Sie WordPress-Benutzerkonten auf unbekannte Administratoren.
- Kontrollieren Sie Benutzermetadaten auf unerwartete Änderungen an Rollen und Berechtigungen.
- Untersuchen Sie verdächtige Anmeldungen und unerklärliche authentifizierte Sitzungen.
- Überprüfen Sie Datenbankeinträge auf unberechtigte Änderungen.
- Untersuchen Sie Website-Dateien auf unerwartete Änderungen oder schädliche PHP-Dateien.
- Kontrollieren Sie WooCommerce-Einstellungen und Zahlungsintegrationen auf Manipulationen.
- Überprüfen Sie Anfragen an Wiederherstellungslinks auf ungewöhnliche Muster.
- Untersuchen Sie unerwartete ausgehende Netzwerkverbindungen oder verdächtige Serveraktivitäten.
Diese Kontrollen dienen der allgemeinen Erkennung möglicher Kompromittierungen und stellen keine bestätigten spezifischen Indikatoren für eine Ausnutzung der drei gemeldeten CVEs dar.
Wenn ein unberechtigter Zugriff bestätigt wird, sollten Administratoren aktive Sitzungen ungültig machen, relevante Zugangsdaten zurücksetzen und untersuchen, ob Kundeninformationen oder Bestelldaten möglicherweise eingesehen wurden.
Abhängig von den Untersuchungsergebnissen müssen Unternehmen gegebenenfalls auch datenschutzrechtliche Meldepflichten gemäß DSGVO prüfen.
Warum die Sicherheit von WooCommerce-Plugins wichtig ist
WooCommerce-Shops verwenden zahlreiche Softwarekomponenten für Zahlungen, Kundenkommunikation, Bestellverwaltung, Marketing und Warenkorbfunktionen.
Plugins, die Kundensitzungen oder Datenbankoperationen verarbeiten, können erhebliche Sicherheitsrisiken verursachen, wenn Authentifizierung oder Eingabevalidierung unzureichend umgesetzt sind.
Die Schwachstellen in Abandoned Cart Pro zeigen, warum Sicherheitsupdates für kommerzielle WooCommerce-Erweiterungen genauso wichtig sind wie Updates für WordPress-Core und WooCommerce selbst.
Administratoren sollten ein aktuelles Verzeichnis installierter Erweiterungen führen, nicht mehr benötigte Software entfernen und verfügbare Sicherheitsupdates zeitnah installieren.
Regelmäßige Backups, geeignete Zugriffskontrollen und Serverüberwachung bieten zusätzlichen Schutz vor Sicherheitsvorfällen.
Professionelles WooCommerce-Hosting bei Vservs
Vservs bietet professionell verwaltete Hostinginfrastruktur für Unternehmen, Agenturen und Organisationen, die WordPress- und WooCommerce-Websites betreiben.
Unsere Managed VPS Server bieten eine professionell betreute Serverumgebung mit Betriebssystem-Sicherheitsupdates, Monitoring, Backups und Infrastrukturverwaltung.
Auch bei WooCommerce-Shops bleibt die Sicherheit der Anwendung selbst entscheidend.
WordPress-Core, WooCommerce, kommerzielle Plugins und Themes müssen regelmäßig aktualisiert werden, um neu entdeckte Schwachstellen zu beheben.
Eine gepflegte Hostinginfrastruktur in Kombination mit aktuellen Anwendungskomponenten trägt dazu bei, Sicherheitsrisiken zu reduzieren und einen zuverlässigen Onlineshop-Betrieb zu gewährleisten.
Fazit
Die Abandoned Cart Pro Sicherheitslücke umfasst drei schwerwiegende Sicherheitsprobleme, die WooCommerce-Shops mit Plugin-Versionen bis einschließlich 10.8.0 betreffen.
Zwei Schwachstellen wurden mit dem kritischen CVSS-Wert 9.8 bewertet und können unter bestimmten Voraussetzungen Authentifizierungsumgehung, Kontoübernahme, SQL-Injection oder Rechteausweitung ermöglichen.
Obwohl eine großflächige aktive Ausnutzung bislang nicht unabhängig bestätigt wurde, machen die möglichen Auswirkungen eine schnelle Behebung erforderlich.
WooCommerce-Administratoren sollten Abandoned Cart Pro auf Version 10.8.1 oder neuer aktualisieren und ihre Installationen auf Hinweise auf unberechtigte Zugriffe oder Datenbankänderungen untersuchen.
Quellen
- Wordfence Intelligence – CVE-2026-97657
- Wordfence Intelligence – CVE-2026-97668
-
Vservs kann Ihnen helfen
Benötigen Sie Hilfe bei der Überprüfung, Absicherung oder Wiederherstellung Ihrer Website oder Ihres Onlineshops? Vservs kann die Schwachstelle untersuchen, Updates durchführen und prüfen, ob bereits ein Missbrauch stattgefunden hat. Möchten Sie Sicherheitsrisiken dauerhaft überwachen und die technische Wartung auslagern? Dann informieren Sie sich über unsere Managed-Hosting- und Verwaltungslösungen.