Sicherheits-Bulletin vom 23. Juli 2026: Zwei anmeldungsfreie Lücken in Shop- und Formular-Plugins — SQL-Injection in Lumise Product Designer (WooCommerce) und Stored-XSS in FormCraft (CVE-2026-9713 & CVE-2026-7232)
23. Juli 2026 · jproxx Security
Dies ist unser täglicher Sicherheits-Überblick, in dem wir die veröffentlichten Schwachstellen sichten und jene herausgreifen, die für den Betrieb von WordPress-Websites, Online-Shops und PHP-Anwendungen tatsächlich von Bedeutung sind. Jede Angabe ist gegen die zugrunde liegende Primärquelle geprüft und am Ende des jeweiligen Abschnitts verlinkt. Wo eine korrigierte Fassung zum Zeitpunkt der Veröffentlichung nicht belegbar war, sagen wir das ausdrücklich, statt eine Zahl zu raten. Die beiden heute frisch veröffentlichten Einträge unterscheiden sich in einem entscheidenden Punkt von den Contributor-Lücken der Vortage: Sie brauchen kein Konto. Beide lassen sich ohne jede Anmeldung von außen auslösen — die eine liest Daten aus der Datenbank, die andere legt Skriptcode dauerhaft ab. Genau diese Vorbedingungslosigkeit hebt sie über die Masse der mittelschweren Meldungen hinaus.
Unauthentifizierte SQL-Injection im Lumise Product Designer for WooCommerce (CVE-2026-9713)
Der Lumise Product Designer for WooCommerce ist ein kommerzielles Erweiterungs-Plugin
(Anbieter King-Theme, Vertrieb über CodeCanyon), mit dem Shop-Betreiber ihren Kunden einen
grafischen Produkt-Gestalter anbieten — etwa zum Bedrucken von Textilien oder Bechern direkt
im Warenkorb. In allen Fassungen bis einschließlich Version 2.1.1 verarbeitet das Plugin
die beim Checkout hochgeladene Warenkorb-JSON, ohne die darin enthaltenen Felder id und
table abzusichern. Beide Werte landen in der Funktion find_resource() direkt in einer
roh zusammengesetzten SQL-Abfrage: id wird ohne Anführungszeichen in eine WHERE-Klausel
eingesetzt (numerischer Kontext), table in die FROM-Klausel — keiner der beiden Werte
läuft durch $wpdb->prepare(). Damit kann ein Angreifer ohne Anmeldung eigene
SQL-Fragmente an die bestehende Abfrage anhängen und so Daten aus der Shop-Datenbank
auslesen. Mit CVSS 7.5 (Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N) fällt der
Schweregrad hoch aus; der Fokus liegt auf dem Auslesen vertraulicher Daten, nicht auf
Manipulation. Der Angriff führt über den regulären Checkout-Weg — also über eine Funktion,
die jeder Besucher eines Shops erreicht. Wichtig für die Praxis: Eine korrigierte
Version war zum Zeitpunkt dieses Bulletins in keiner Primärquelle belegt (das Plugin wird
nicht über wordpress.org, sondern kommerziell vertrieben, und weder NVD noch der
Hersteller-Changelog nannten eine Fix-Fassung). Wer 2.1.1 oder älter betreibt, sollte die
Hersteller-Hinweise auf ein Update prüfen und bis dahin den Zugriff auf die betroffene
Checkout-Route über eine Web Application Firewall einschränken oder das Plugin vorübergehend
deaktivieren.
Quellen: NVD — CVE-2026-9713 · Wordfence — CVE-2026-9713
Unauthentifiziertes Stored-XSS in FormCraft über Matrix-Feldschlüssel (CVE-2026-7232)
FormCraft ist ein verbreiteter kommerzieller Formular-Baukasten für WordPress. In allen
Versionen bis einschließlich 3.9.14 lässt sich über die zusammengesetzten Schlüssel
eines Matrix-Feldes Skriptcode dauerhaft ablegen — und zwar ohne Anmeldung. Der Kern
des Problems: Teilschlüssel wie field2_0 oder field2_1 durchlaufen die serverseitige
Bereinigungsschleife nicht und werden über $wpdb->insert() unverändert gespeichert.
Ein zweiter Weg umgeht die vorgesehene clientseitige Absicherung — Matrix-Werte treffen als
Array vom Server ein und werden an der DOMPurify-Prüfung vorbeigeführt, bevor sie in das
Dokument geschrieben werden; ergänzend hebt ein html_entity_decode() die beim Absenden
angewandte htmlentities()-Maskierung wieder auf und stellt die Nutzlast wieder her. Der
Schweregrad liegt bei CVSS 7.2 (Vektor AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N). Das
S:C im Vektor ist bemerkenswert: Die Lücke kann die Grenze ihres ursprünglichen
Sicherheitsbereichs überschreiten — abgelegter Code wird später im Browser dessen
ausgeführt, der die betroffene Ansicht öffnet, im Zweifel eines angemeldeten Administrators.
Anders als bei der SQL-Injection oben ist hier eine korrigierte Fassung verfügbar: Da NVD
den betroffenen Bereich mit „bis einschließlich 3.9.14” angibt, ist Version 3.9.15 die
erste bereinigte Fassung (der Hersteller-Changelog weist dort eine XSS-Korrektur aus). Wer
eine aktuelle FormCraft-Version betreibt, ist bereits geschützt; ältere Installationen
sollten aktualisiert werden.
Quellen: NVD — CVE-2026-7232 · FormCraft — Changelog
Nachtrag: wp2shell-Kernlücke jetzt aktiv ausgenutzt (CVE-2026-60137)
Ein kurzer, aber wichtiger Nachtrag zur „wp2shell”-Kette, über die wir vergangene Woche
berichtet haben: Die SQL-Injection-Hälfte der Kette — CVE-2026-60137, die unzureichende
Absicherung des author__not_in-Parameters in WP_Query — wurde am 22. Juli in den
CISA-Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und ist dort als
aktiv ausgenutzt markiert. Aus einem theoretischen Risiko ist damit ein belegter
Angriff in der Praxis geworden. Betroffen sind die WordPress-Kernzweige vor 6.8.6,
6.9.5 und 7.0.2; wer noch nicht auf eine dieser Fassungen aktualisiert hat, sollte
das jetzt ohne weiteren Aufschub tun. Als Sofortmaßnahme ohne Patch lässt sich der Zugriff
auf die Batch-Route (/wp-json/batch/v1) an der Firewall sperren.
Quellen: NVD — CVE-2026-60137 · NVD — CVE-2026-63030
Unsicher, ob Sie betroffen sind? Sprechen Sie uns an.
Dieser Hinweis dient der Sicherheits-Aufklärung. Maßgeblich sind stets die offiziellen Hinweise des jeweiligen Herstellers sowie die oben verlinkten Quellen.