CVE-2026-49777

CVE-2026-49777 - ShapedPlugin Product Slider Pro für WooCommerce Backdoor RCE Tiefgehende technische Analyse: Backdoor-Schwachstelle im Product Slider Pro Grundlage und Ursache der Schwachstelle (CWE-1284) Der technische Ursprung der Schwachstelle wird als CWE-1284 eingestuft: „Unzureichende Validierung einer angegebenen Anzahl in der Eingabe“. Das bedeutet, dass die Software eine Eingabe vom Benutzer erhält, die eine Menge (z. B. Größe, Länge, Anzahl) spezifizieren soll, diese Eingabe jedoch nicht ordnungsgemäß validiert. Angreifer können diese Schwachstelle ausnutzen, um bösartige Eingaben zu senden, die von der normalerweise erwarteten abweichen, und dadurch ein unerwartetes Verhalten des Systems auszulösen.

.

Betroffene Versionen und Patch-Status Betroffene Versionen: Alle Versionen vor 3.5.3.

Sichere Versionen: 3.5.4 und höher.

Patch-Status (Kritisch): Obwohl der Plugin-Entwickler (ShapedPlugin, LLC) die Schwachstelle in Version 3.5.3 behoben hat, wurde offiziell keine neue Versionsnummer veröffentlicht. Der Fix ist in die aktuelle Version 3.5.3 integriert. Dies macht es für Website-Betreiber unmöglich, zuverlässig zu bestimmen, ob sie eine sichere Version ausführen. Daher gilt die Schwachstelle offiziell als „ungepatcht“.

CVSS-Score und Risikobewertung Basis-CVSSv3-Score: 10.0 (Kritisch)

Risikobewertung: Dieser Vektor zeigt an, dass der Angriff über das Netzwerk (AV:N) mit geringer Komplexität (AC:L), ohne jegliche Autorisierung (PR:N) und ohne Benutzerinteraktion (UI:N) durchgeführt werden kann. Ein erfolgreicher Angriff würde die Vertraulichkeit (C:H), Integrität (I:H) und Verfügbarkeit (A:H) des Systems vollständig gefährden, und seine Auswirkungen könnten über das Zielsystem hinausgehen (S:C).

Exploit: Python-Skript für automatisierte Erkennung und Ausnutzung (CVE-2026-49777.py)