Sicherheits-Bulletin vom 24. Juli 2026: Unbezahlte Bestellungen als „bezahlt" markiert — Zahlungs-Manipulation im Stripe-Plugin für WooCommerce, dazu Rechte-Ausweitung in EventON und Datenverlust in Easy Appointments (CVE-2026-12654, CVE-2026-10033 & CVE-2026-8789)

Dies ist unser täglicher Sicherheits-Überblick, in dem wir die veröffentlichten Schwachstellen sichten und jene herausgreifen, die für den Betrieb von WordPress-Websites, Online-Shops und PHP-Anwendungen tatsächlich von Bedeutung sind. Jede Angabe ist gegen die zugrunde liegende Primärquelle geprüft und am Ende des jeweiligen Abschnitts verlinkt. Der heutige Tag liefert einen lehrreichen Fall dafür, warum eine nüchterne CVSS-Zahl nicht immer die geschäftliche Tragweite abbildet: Die schwerste Meldung für Shop-Betreiber trägt nur einen mittleren Wert — und erlaubt trotzdem, unbezahlte Bestellungen als bezahlt auszugeben. Dazu kommen zwei weitere frische Einträge, die zeigen, wie unscheinbare AJAX-Endpunkte ohne Berechtigungsprüfung zu Rechte-Ausweitung und Datenverlust führen.

Unbezahlte Bestellungen als „bezahlt”: Manipulation im Stripe-Plugin für WooCommerce (CVE-2026-12654)

Das kostenlose Zahlungs-Plugin Payment Plugins for Stripe WooCommerce bindet Stripe als Bezahlweg in WooCommerce-Shops ein und läuft auf rund 100.000 Websites. In allen Fassungen bis einschließlich Version 4.0.7 prüft das Plugin die Echtheit eingehender Stripe-Webhook-Ereignisse nicht ausreichend. Ein Angreifer ohne jede Anmeldung kann ein charge.pending-Ereignis fälschen und darin selbst gewählte Metadaten mitschicken — die Bestell-Kennung, die Gateway-Kennung sowie ein Ladungs-Objekt mit dem Status „erfolgreich” bzw. „eingezogen”. Das Plugin ruft daraufhin seine Abschluss-Routine payment_complete() auf und behandelt die betroffene Bestellung als vollständig bezahlt — samt der nachgelagerten Auslieferungs-Schritte, mit einer vom Angreifer bestimmten Transaktions-ID. Konkret heißt das: Ware oder Leistung ohne Zahlungseingang. Mit CVSS 5.3 (Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N) fällt der numerische Schweregrad nur mittel aus — allein deshalb, weil keine Daten abfließen und die Verfügbarkeit unberührt bleibt; wirtschaftlich ist die Lücke für einen Shop erheblich. Entscheidend ist die Vorbedingung: Der Angriff greift nur, solange das Webhook-Signaturgeheimnis (webhook_secret_test bzw. webhook_secret_live) leer ist — und das ist der Auslieferungszustand, bis ein von Stripe ausgestellter whsec_-Wert von Hand eingetragen wird. Sobald ein Geheimnis hinterlegt ist, blockiert die Signaturprüfung den gefälschten Aufruf. Die korrigierte Version 4.0.8 schließt die Lücke; wer 4.0.7 oder älter betreibt, sollte aktualisieren und das Webhook-Signaturgeheimnis im Stripe-Dashboard konfigurieren.

Quellen: NVD — CVE-2026-12654 · WordPress.org — Payment Plugins for Stripe WooCommerce

Unauthentifizierte Rechte-Ausweitung in EventON Action User (CVE-2026-10033)

EventON Action User ist ein Zusatz-Modul zum Veranstaltungskalender EventON, das Nutzer- und Rollenrechte verwaltet. In allen Versionen bis einschließlich 2.5.14 prüft die AJAX-Aktion evoau_save_capability die Berechtigung des Aufrufers nicht. Dadurch kann ein Angreifer ohne Anmeldung beliebigen Nicht-Administrator-Rollen und -Konten EventON-Verwaltungsrechte sowie die Fähigkeit zum Datei-Upload (upload_files) zuweisen; die Administrator-Rolle selbst ist durch eine vorgezogene Abbruchbedingung im Code geschützt. Über denselben Weg lassen sich zudem alle WordPress-Nutzer auflisten (samt IDs und Anzeigenamen), Rollen- und Rechte-Zustände sowie Nonce-Werte auslesen und Veranstaltungs-zu-Nutzer-Zuordnungen verändern. Der Schweregrad liegt bei CVSS 7.3 (Vektor AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L). Die Fähigkeit zum Datei-Upload an ein niedrig privilegiertes Konto zu vergeben, ist besonders heikel, weil sie einem Angreifer einen weiteren Schritt in Richtung dauerhafter Präsenz auf dem Server eröffnet. Behoben ist das Problem in Version 2.5.15.

Quellen: NVD — CVE-2026-10033 · Wordfence — CVE-2026-10033

Datenverlust durch fehlende Rechteprüfung in Easy Appointments (CVE-2026-8789)

Easy Appointments ist ein verbreitetes Termin- und Buchungs-Plugin (rund 10.000 aktive Installationen). In allen Fassungen bis einschließlich 3.12.27 fehlen der AJAX-Aktion ea_delete_multiple_connections sowohl eine Fähigkeitsprüfung als auch eine Nonce-Prüfung. Ein angemeldeter Nutzer mit Beitragenden-Rechten oder höher kann darüber beliebige Datensätze aus der internen Verknüpfungstabelle (wp_ea_connections) löschen — also genau jene Konfiguration, die Dienstleistungen, Mitarbeiter und Standorte zu buchbaren Terminen verbindet. Für ein Buchungssystem ist das ein unmittelbarer Betriebsausfall. Mit CVSS 8.1 (Vektor AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H) trägt diese Lücke den höchsten Wert des heutigen Tages; der Fokus liegt auf Integrität und Verfügbarkeit, nicht auf Datenabfluss. Die Entwickler haben den Fehler in Version 3.12.28 behoben.

Quellen: NVD — CVE-2026-8789 · WordPress.org — Easy Appointments

Unsicher, ob Sie betroffen sind? Sprechen Sie uns an.

---

Dieser Hinweis dient der Sicherheits-Aufklärung. Maßgeblich sind stets die offiziellen Hinweise des jeweiligen Herstellers sowie die oben verlinkten Quellen.