Ohne BewertungCVE-2026-109926

Productive Commerce: Sicherheitslücke (CVE-2026-109926)

Veröffentlicht 21.10.2026Zuletzt geändert 21.10.2026Quellen: CVE.org

Exploit öffentlich

Was ist betroffen, was ist zu tun

The Productive Commerce WordPress plugin before 1.1.49 does not perform a capability check in one of its AJAX actions and exposes the nonce that guards it on every admin-area page, allowing any authenticated user such as a subscriber to activate arbitrary Productive Commerce WordPress plugin before 1.1.49 already installed on the site.

Ein Exploit ist öffentlich verfügbar. Aktualisieren Sie Productive Commerce auf Version 1.1.49.

Betroffen: Productive Commerce lt *..1.1.49
Behoben in: Productive Commerce 1.1.49

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

—

Priorität

Für diese Schwachstelle liegt kein Wert vor.

—

CVSS v3

Für diese Schwachstelle liegt kein Wert vor.

—

EPSS-Score

Für diese Schwachstelle liegt kein Wert vor.

Alle Metriken anzeigen

Schweregrad: Ohne Bewertung
Priorität (0–325) Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst? Im Glossar lesen: 30.00 Methodik
Exploit-Reife Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht. Im Glossar lesen: PoC (öffentlich gemeldet)
KEV-Status Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf. Im Glossar lesen: —
Veröffentlicht: 21.10.2026

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2 NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung. Im Glossar lesen: Behandeln Sie die Schwachstelle im regulären Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2.
CRA Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen. Im Glossar lesen: Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.
ISO/IEC 27001 ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern. Im Glossar lesen: Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Quelle: cvelistv5, NVD (NIST)

Betroffene Produkte

Betroffen sind die folgenden Versionen. Ältere Stände derselben Reihe sind ebenfalls verwundbar, sofern nicht anders angegeben.

Betroffene Produkte
Hersteller	Produkt	Betroffene Versionen	Behoben in
—	Productive Commerce	`< 1.1.49`	`1.1.49`

Öffentliche Exploit-Referenzen

Öffentlich gemeldete Proof-of-Concepts, Exploit-Module und Detection-Templates zu dieser Schwachstelle. NEOSEC verlinkt ausschließlich auf die Originalquellen und stellt keinen Exploit-Code bereit.

Öffentliche Exploit-Referenzen
Quelle	Referenz	Reife	Veröffentlicht
Referenz mit Exploit-Kennzeichnung	wpscan.com (öffnet in neuem Tab)	PoC (öffentlich gemeldet)gemeldet, nicht verifiziert	—

Quellen & Referenzen

wpscan.comvulnerability/a85ad939-3eb3-470b-a938-d0bfff1ee24fExploit, Schwachstellendatenbank, Technische Beschreibung

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE – Reanalyses, CVSS-Updates, CPE-Diffs.

CVE Modified21.10.2026134c704f-9b21-4f2e-91b3-4a467353bcc0
- CVSS V3.1: nachher AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
- CWE: nachher CWE-862
- SSVC: nachher {"id":"CVE-2026-109926","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technical…
New CVE Received21.10.2026contact@wpscan.com
- Description: nachher The Productive Commerce WordPress plugin before 1.1.49 does not perform a capability check in one of its AJAX actions and exposes the nonce that guards it on every admin-area page, allowing any authenticated user such as a subscriber to activate arbitrary Productive Commerce WordPress plugin before 1.1.49 already installed on the site.
- Affected: nachher New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/109xxx/CVE-2026-109926.json">CVE-2026-109926</a>
- Reference: nachher https://wpscan.com/vulnerability/a85ad939-3eb3-470b-a938-d0bfff1ee24f/

Badge einbetten

Zeigen Sie Schweregrad und KEV-Status dieser Schwachstelle auf Ihrer Seite – mit Link hierher. Das Bild wird stündlich aktualisiert.

<a href="https://intel.neosec.eu/cve/CVE-2026-109926"><img src="https://intel.neosec.eu/badge/cve/CVE-2026-109926.svg" alt="CVE-2026-109926 – NEOSEC Intel" height="20"></a>