Ohne BewertungCVE-2026-15261

TI WooCommerce Wishlist: Sicherheitslücke (CVE-2026-15261)

Veröffentlicht 21.10.2026Zuletzt geändert 21.10.2026Quellen: CVE.org

Exploit öffentlich

Was ist betroffen, was ist zu tun

The TI WooCommerce Wishlist WordPress plugin before 2.13.0 does not enforce the same owner-only access control on its REST API that it applies on the front-end, allowing unauthenticated users to read the metadata and item contents of private wishlists.

Ein Exploit ist öffentlich verfügbar. Aktualisieren Sie TI WooCommerce Wishlist auf Version 2.13.0.

Betroffen: TI WooCommerce Wishlist lt *..2.13.0
Behoben in: TI WooCommerce Wishlist 2.13.0

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

—

Priorität

Für diese Schwachstelle liegt kein Wert vor.

—

CVSS v3

Für diese Schwachstelle liegt kein Wert vor.

—

EPSS-Score

Für diese Schwachstelle liegt kein Wert vor.

Alle Metriken anzeigen

Schweregrad: Ohne Bewertung
Priorität (0–325) Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst? Im Glossar lesen: 30.00 Methodik
Exploit-Reife Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht. Im Glossar lesen: PoC (öffentlich gemeldet)
KEV-Status Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf. Im Glossar lesen: —
Veröffentlicht: 21.10.2026

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2 NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung. Im Glossar lesen: Behandeln Sie die Schwachstelle im regulären Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2.
CRA Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen. Im Glossar lesen: Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.
ISO/IEC 27001 ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern. Im Glossar lesen: Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Quelle: cvelistv5, NVD (NIST)

Betroffene Produkte

Betroffen sind die folgenden Versionen. Ältere Stände derselben Reihe sind ebenfalls verwundbar, sofern nicht anders angegeben.

Betroffene Produkte
Hersteller	Produkt	Betroffene Versionen	Behoben in
—	TI WooCommerce Wishlist	`< 2.13.0`	`2.13.0`

Öffentliche Exploit-Referenzen

Öffentlich gemeldete Proof-of-Concepts, Exploit-Module und Detection-Templates zu dieser Schwachstelle. NEOSEC verlinkt ausschließlich auf die Originalquellen und stellt keinen Exploit-Code bereit.

Öffentliche Exploit-Referenzen
Quelle	Referenz	Reife	Veröffentlicht
Referenz mit Exploit-Kennzeichnung	wpscan.com (öffnet in neuem Tab)	PoC (öffentlich gemeldet)gemeldet, nicht verifiziert	—

Quellen & Referenzen

wpscan.comvulnerability/64e9f028-2124-4800-a5cf-0ed5d4d13e62Exploit, Schwachstellendatenbank, Technische Beschreibung

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE – Reanalyses, CVSS-Updates, CPE-Diffs.

CVE Modified21.10.2026134c704f-9b21-4f2e-91b3-4a467353bcc0
- CVSS V3.1: nachher AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
- CWE: nachher CWE-284
- SSVC: nachher {"id":"CVE-2026-15261","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"yes"},{"technical…
New CVE Received21.10.2026contact@wpscan.com
- Description: nachher The TI WooCommerce Wishlist WordPress plugin before 2.13.0 does not enforce the same owner-only access control on its REST API that it applies on the front-end, allowing unauthenticated users to read the metadata and item contents of private wishlists.
- Affected: nachher New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/15xxx/CVE-2026-15261.json">CVE-2026-15261</a>
- Reference: nachher https://wpscan.com/vulnerability/64e9f028-2124-4800-a5cf-0ed5d4d13e62/

Badge einbetten

Zeigen Sie Schweregrad und KEV-Status dieser Schwachstelle auf Ihrer Seite – mit Link hierher. Das Bild wird stündlich aktualisiert.

<a href="https://intel.neosec.eu/cve/CVE-2026-15261"><img src="https://intel.neosec.eu/badge/cve/CVE-2026-15261.svg" alt="CVE-2026-15261 – NEOSEC Intel" height="20"></a>