Das Plug-in Customer Reviews for WooCommerce gibt in den Versionen bis 5.127.0 die E-Mail- und IP-Adressen der Verfasser von Bewertungen preis. Besucher ohne Konto können sie über die Bewertungssuche Zeichen für Zeichen auslesen. Die Sicherheitslücke hat die Nummer CVE-2026-121518 und steht in der amerikanischen Schwachstellen-Datenbank NVD.
Der Hersteller CusRev hat die Lücke in Version 5.128.0 geschlossen, die seit dem 9. November im Plug-in-Verzeichnis von WordPress liegt. Das Plug-in hat laut Verzeichnis mehr als 80.000 aktive Installationen. WordPress aktualisiert Plug-ins nur von selbst, wenn du Auto-Updates dafür eingeschaltet hast. Ohne diesen Schalter läuft dein Shop so lange mit der alten Version, bis du das Update von Hand einspielst.
Wie kommt ein Besucher an die Adressen?
Die Suche nimmt einen Begriff entgegen und liefert die passenden Bewertungen zurück. Dahinter durchsucht WordPress laut NVD auch Felder, die es nie öffentlich zeigt: Name, E-Mail-Adresse, Webadresse und IP-Adresse des Verfassers. Ein Angreifer probiert ein Zeichen nach dem anderen aus und liest an der Trefferliste ab, ob sein Bruchstück zu einer Adresse passt.
Der NVD-Eintrag nennt die Ursache: Zwei AJAX-Aktionen des Plug-ins, cr_show_more_all_reviews und cr_show_more_reviews, laufen auch für nicht angemeldete Besucher und prüfen keine Berechtigung. Die Prüfung per Nonce, einem einmaligen Sicherheitsschlüssel, greift in der Aktion für Produktseiten nur, wenn ein Filter aktiv ist, der standardmäßig ausgeschaltet ist.
Wordfence hat die Lücke gemeldet und mit 5,3 von 10 als mittel eingestuft. Ein Angreifer kann nur auslesen und nichts ändern oder löschen. Im selben Eintrag bewertet die CISA, die Behörde für Cybersicherheit der USA, die Lage am 13. November so: Angriffe sind bisher nicht bekannt, der Abruf lässt sich aber automatisieren. Ein Skript kann ihn ohne Handarbeit erledigen.
Was ändert Version 5.128.0?
Laut Änderungsprotokoll beschränkt die Version die Suche in Bewertungen sowie in Fragen und Antworten auf öffentliche Felder. Außerdem entfernt die neue Version die Konfigurationsdaten der Kachelansicht für Bewertungen aus den AJAX-Antworten, damit das Plug-in übermittelte Eingaben nicht wieder zurückliefert. Die Vorgängerversion 5.127.0 enthielt schon drei andere Sicherheitskorrekturen: Sie bereinigt Einstellungen des Sliders, zeigt Fehlermeldungen der Kachelansicht als reinen Text statt als HTML und prüft Farbwerte.
Version 5.128.0 verlangt PHP 7.4 oder neuer und ist laut Plug-in-Seite bis WordPress 7.1.4 getestet. Läuft dein Server noch mit einer älteren PHP-Version, steht zuerst der PHP-Wechsel an.
Was das für dich bedeutet
Öffne am besten im WordPress-Dashboard die Plug-in-Liste und suche nach Customer Reviews for WooCommerce. Steht dort eine Version bis 5.127.0, spiel das Update ein und schalte die Auto-Updates für dieses Plug-in ein.
So prüfst du deinen Shop in vier Schritten
Für Seiten mit Customer Reviews for WooCommerce bis Version 5.127.0
- VersionIn der Plug-in-Liste nachsehen, ab 5.128.0 ist die Lücke geschlossen
- UpdateAktualisieren und Auto-Updates für das Plug-in einschalten
- ProtokollAnfragen an admin-ajax.php von derselben Adresse zählen
- VerdachtMeldepflicht nach Artikel 33 DSGVO prüfen, Kunden warnen
Schritte 3 und 4 sind die Einschätzung der Redaktion
Quellen: NVD, WordPress.org, EUR-Lex
Danach lohnt der Blick ins Zugriffsprotokoll deines Servers. Achte auf viele Anfragen an admin-ajax.php in kurzer Zeit von derselben Adresse. Eine Abfrage Zeichen für Zeichen erzeugt zwangsläufig viele Anfragen. Bei POST-Anfragen steckt der Suchbegriff im Body der Anfrage, den die üblichen Server-Logs nicht mitschreiben. Dann bleibt die Menge der Anfragen das einzige Indiz. Ein sauberes Protokoll schließt einen Abruf nicht sicher aus, falls dein Hoster ältere Einträge schon gelöscht hat.
Bei Hinweisen auf einen Abruf geht es um personenbezogene Daten, denn E-Mail- und IP-Adressen gehören dazu. Artikel 33 der DSGVO verlangt bei einer Verletzung des Schutzes personenbezogener Daten eine Meldung an die Aufsichtsbehörde binnen 72 Stunden, nachdem dir die Verletzung bekannt wurde, außer die Verletzung führt voraussichtlich nicht zu einem Risiko für die Betroffenen. Hol dir bei einem Verdacht am besten rechtlichen Rat und warne deine Kunden, dass Mails im Namen deines Shops gefälscht sein können.
Die NVD hat den Eintrag am 13. November 2026 veröffentlicht.
Quellen
