Wenn Sie eine E-Mail von mir erhalten haben, die Sie auf diese Seite verweist, liegt dies daran, dass Ihre Website anscheinend eine Version von Creative Mail by Constant Contact (dem WordPress-E-Mail-Marketing-Plugin für WooCommerce, das sich in Ihren Dateien unter /wp-content/plugins/creative-mail-by-constant-contact/ befindet) ausführt, die in den betroffenen Bereich eines bekannten Sicherheitsproblems fällt. Diese Seite erklärt, worum es sich bei dem Problem handelt, welche Versionen betroffen sind, warum es kein Update zu installieren gibt und wie Sie das Plugin sicher entfernen oder ersetzen.

Es handelt sich um CVE-2026-3985, eine nicht authentifizierte SQL-Injection-Schwachstelle, die über die WooCommerce-Verwaltung abgebrochener Warenkörbe des Plugins erreichbar ist. Betroffen sind Version 1.6.5 und jede darauffolgende Veröffentlichung, bis einschließlich der letzten vom Hersteller veröffentlichten Version, 1.6.9.

Die wichtigste praktische Tatsache auf dieser Seite: Es gibt keine fehlerbereinigte Version, auf die Sie aktualisieren könnten. Das Plugin wurde am 14. Mai 2026 aus dem WordPress.org-Verzeichnis entfernt und wurde nie gepatcht. Die letzte Veröffentlichung, 1.6.9, weist das Problem weiterhin auf, und es wird keine neuere mehr geben. Dies ist also nicht der übliche „Update anklicken”-Hinweis. Die Abhilfe besteht darin, das Plugin zu deaktivieren und zu entfernen, und, falls Sie darauf angewiesen sind, es durch eine gepflegte Alternative zu ersetzen. Der Rest dieser Seite erklärt, wie Sie Ihre Version bestätigen und dies sicher durchführen.

Ein Punkt der Beruhigung, und zwar ein echter. Anders als bei manchen Problemen, über die ich schreibe, hat diese Schwachstelle eine echte untere Grenze: Sie wurde in Version 1.6.5 eingeführt. Versionen 1.6.4 und früher sind davon nicht betroffen: Der verwundbare Code ist dort schlicht nicht vorhanden. Wenn Ihre Installation 1.6.4 oder älter ist, betrifft Sie dieses spezielle Problem nicht. (Allerdings wird das Plugin von niemandem mehr gepflegt, was für sich genommen ein Grund ist, langfristig einen Wechsel zu planen.)

Dies ist eine Plugin-Schwachstelle und keine Schwachstelle im WordPress-Kern. Ein vollständig auf dem neuesten Stand befindliches WordPress schützt Sie nicht, wenn das Creative Mail-Plugin selbst eine betroffene Version ausführt.

Ist diese Nachricht echt?

Ja. Dies ist ein Hinweis im guten Glauben im Rahmen der verantwortungsvollen Offenlegung eines unabhängigen Sicherheitsforschers. Ich bitte Sie nicht um Geld, Passwörter oder Zugriff auf Ihre Website, und ich habe nicht versucht, in sie einzubrechen, irgendetwas an sie zu senden oder irgendetwas auszunutzen.

Ich habe lediglich öffentlich sichtbare Dateien betrachtet, die Ihre Website jedem Besucher bereitstellt (auf die gleiche Weise wie Ihre Startseite öffentlich ist), und die Versionsnummer notiert, die das Plugin veröffentlicht. Ich habe insbesondere nichts an die Checkout- oder Einwilligungsverarbeitung des Plugins gesendet, weder auf Ihrer Website noch auf einer anderen, und nichts an dieser Überprüfung berührt Ihre Daten, Ihren Admin-Bereich oder einen privaten Teil Ihrer Website (weitere Details unter Was ich getan und nicht getan habe unten).

Wenn Sie überprüfen möchten, wer ich bin, finden Sie die Kontaktdaten am Ende dieser Seite und auf der Seite Über.

Warum das wichtig ist

Creative Mail verbindet einen WooCommerce-Shop für E-Mail-Marketing mit Constant Contact, und zu seinen Aufgaben gehört es, Warenkörbe zu merken, die begonnen, aber nicht abgeschlossen wurden, damit ein Shop diese nachverfolgen kann. Genau in dieser Verwaltung abgebrochener Warenkörbe liegt das Problem.

In betroffenen Versionen baut das Plugin beim Erfassen eines Checkouts bei einer seiner Datenbankabfragen die Abfrage auf, indem es einen Wert einfügt, der vom Besucher stammt, ohne ein Prepared Statement zu verwenden. Der Wert wird für die Verwendung in SQL nicht escaped. Die Folge ist, dass ein Besucher, der nicht angemeldet ist, diese Abfrage verändern und Daten aus der Datenbank Ihrer Website auslesen kann.

Es lohnt sich, genau zu sein, was dieses Problem ist und was nicht. Es ermöglicht einem Angreifer, Daten aus der Datenbank auszulesen. Das ist für sich genommen bereits ernst, denn eine WordPress-Datenbank enthält Dinge wie E-Mail-Adressen von Benutzern und gehashte Passwörter, und bei einem Shop können auch Kundendatensätze enthalten sein. Es ist jedoch für sich genommen keine Remotecodeausführung, keine Übernahme der Website und keine Möglichkeit für einen Angreifer, sich selbst ein Administratorkonto zu verschaffen. Es ist enger begrenzt als die vollständigen Kompromittierungen, über die ich an anderer Stelle schreibe, und ich stelle das Ausmaß lieber ehrlich dar, als Ihnen einen beängstigenderen Eindruck zu hinterlassen, als die Fakten hergeben.

Ich beschreibe dies auf einem Niveau, das ein Website-Betreiber zum Handeln benötigt, und nicht weiter. Ich veröffentliche nicht die Details, die es jemandem ermöglichen würden, dies nachzustellen, und ich bitte Sie, dies nicht gegen Ihre eigene Website oder die einer anderen Person zu versuchen. Das Ablesen Ihrer Versionsnummer, wie unten beschrieben, sagt Ihnen alles, was Sie zur Entscheidung benötigen.

Wenn meine E-Mail dieses Problem zitiert, bedeutet dies, dass die von Ihrer Website gemeldete Version 1.6.5 oder neuer ist. Ich habe nicht getestet, ob Ihre konkrete Website ausnutzbar ist; alles, was ich beobachtet habe, ist die Version.

Bin ich betroffen?

Es kommt auf eine Frage an: Welche Version von Creative Mail führen Sie aus?

Aus dem WordPress-Adminbereich (maßgeblich):

  1. Melden Sie sich in Ihrem WordPress-Dashboard an (üblicherweise unter yourdomain.com/wp-admin).
  2. Gehen Sie zu Plugins und dann zu Installierte Plugins.
  3. Finden Sie Creative Mail by Constant Contact, den Eintrag, dessen Ordner creative-mail-by-constant-contact ist, und notieren Sie die unter seinem Namen angezeigte Version.

Aus dem öffentlichen Manifest (kein Login erforderlich): Öffnen Sie yourdomain.com/wp-content/plugins/creative-mail-by-constant-contact/readme.txt in einem Browser. Die Zeile Stable tag: in der Nähe des Anfangs ist die Version, die Ihre Installation meldet, und dies ist genau die öffentliche Datei, die ich gelesen habe. Für dieses Plugin habe ich bestätigt, dass sie exakt mit dem tatsächlich veröffentlichten Code übereinstimmt, sodass dies eine zuverlässige Prüfung ist.

Eine Prüfung, die bei diesem Plugin nicht funktioniert, verlassen Sie sich also bitte nicht darauf. Wenn Sie es gewohnt sind, die Version eines Plugins aus der ?ver=-Nummer abzulesen, die an ein Skript oder Stylesheet in Ihrem Seitenquelltext angehängt ist, wird Sie das hier in die Irre führen. Bei diesem Plugin sind diese Zahlen Datei-Zeitstempel (lange Werte wie ?ver=1723603844), keine Plugin-Version, und ein Vergleich mit 1.6.5 ist bedeutungslos. Verwenden Sie den Admin-Bildschirm oder die readme.txt.

Wenden Sie dann diese Regel an:

  • 1.6.5 oder neuer (bis 1.6.9, die letzte Veröffentlichung): betroffen. Da es keine Behebung gibt, besteht der zu unternehmende Schritt darin, das Plugin zu entfernen oder zu ersetzen (siehe unten).
  • 1.6.4 oder früher: von diesem Problem nicht betroffen. Die Schwachstelle wurde in 1.6.5 eingeführt, sodass ältere Installationen sie nicht enthalten. (Das Plugin wird ungeachtet dessen nicht mehr gepflegt, weshalb es sich dennoch lohnt, einen Wechsel zu planen.)

Was zu tun ist: entfernen oder ersetzen

Da das Plugin ohne Behebung zurückgezogen wurde, gibt es kein Update zu installieren: Ihr WordPress-Dashboard wird keines anbieten, und die Version, die Sie haben, ist die letzte, die je existieren wird. Der Weg, dieses Problem zu schließen, besteht darin, das Plugin nicht mehr auszuführen. Sichern Sie zuerst, und entfernen Sie es dann:

  1. Sichern Sie Ihre Website (Dateien und Datenbank), bevor Sie Änderungen vornehmen. Die meisten Hosting-Anbieter bieten Ein-Klick-Sicherungen an, oder Sie verwenden ein WordPress-Sicherungsplugin.
  2. Gehen Sie im WordPress-Adminbereich zu Plugins und dann zu Installierte Plugins, finden Sie Creative Mail by Constant Contact, und klicken Sie auf Deaktivieren. Das Deaktivieren stoppt die Ausführung des verwundbaren Codes.
  3. Klicken Sie nach dem Deaktivieren auf Löschen, um die Dateien des Plugins zu entfernen. Wenn Sie die Befehlszeile bevorzugen, erledigt WP-CLI dasselbe: wp plugin deactivate creative-mail-by-constant-contact und anschließend wp plugin delete creative-mail-by-constant-contact.
  4. Bestätigen Sie, dass es entfernt wurde: Der Eintrag sollte auf dem Plugins-Bildschirm nicht mehr erscheinen, und yourdomain.com/wp-content/plugins/creative-mail-by-constant-contact/readme.txt sollte nicht mehr laden.

Wenn Sie Creative Mail für das E-Mail-Marketing Ihres Shops genutzt haben, werden Sie einen Ersatz wollen, damit Ihnen diese Funktion nicht verloren geht. Im offiziellen Verzeichnis gibt es mehrere gepflegte WooCommerce-E-Mail- und Newsletter-Plugins; wählen Sie eines, das derzeit unterstützt wird und Updates erhält. Der Dienst von Constant Contact selbst ist davon nicht betroffen: Das Problem liegt in dem zurückgezogenen WordPress-Plugin, nicht im E-Mail-Dienst. Wenn Sie Constant Contact direkt nutzen, ist eine aktuelle, unterstützte Integration das Ziel.

Wenn Sie schon dabei sind, lohnt es sich zu bestätigen, dass WordPress-Kern und Ihre anderen Plugins auf dem neuesten Stand sind, und andere Plugins zu entfernen, die Sie nicht mehr verwenden.

Nach dem Entfernen

Das Entfernen des Plugins verhindert, dass in Zukunft über dieses Problem etwas aus Ihrer Datenbank ausgelesen wird. Es kann jedoch nicht ungeschehen machen, was möglicherweise bereits ausgelesen wurde, während das Plugin auf einer betroffenen Version aktiv war. Ich habe keine Einsicht darin, ob das auf Ihrer Website geschehen ist, und ich habe auch nicht danach gesucht; die meisten Websites im betroffenen Bereich wurden vermutlich nie angegriffen. Da ich Ihnen das aber nicht mit Sicherheit sagen kann, ist etwas Vorsicht angemessen, im Verhältnis dazu, was Ihre Datenbank enthält:

  • Bei einem Shop sind die sinnvollen Schritte, Ihre Administratoren ihre Passwörter ändern zu lassen und sich bewusst zu machen, dass Kundenkontaktdaten in Ihrer Datenbank offengelegt worden sein könnten. WordPress und WooCommerce speichern Passwörter gehasht, nicht im Klartext, aber Hashes schwacher Passwörter können offline geknackt werden, sodass neue Passwörter diese Sorge beseitigen.
  • Wenn Plugins auf Ihrer Website eigene Zugangsdaten oder API-Schlüssel speichern, sollten Sie auch diese als rotationswürdig behandeln.
  • Das Erneuern der Sicherheitsschlüssel und Salts von WordPress in wp-config.php (neue Werte sind mit einem Klick über den offiziellen Schlüsselgenerator erreichbar) meldet alle Benutzer einmalig ab und macht gestohlene Sitzungstoken ungültig.

Zur Klarstellung des Rahmens: Dies ist eine Vorsichtsmaßnahme, keine Feststellung, dass Ihre Daten entwendet wurden. Dieser Hinweis beruht auf einer Versionsnummer, nicht auf Hinweisen auf einen Angriff.

Was ich getan und nicht getan habe

Um bezüglich der Überprüfung hinter meiner E-Mail vollständig transparent zu sein: Ich habe nur öffentliche Dateien gelesen, die Ihre Website bereits jedem Besucher bereitstellt, konkret die öffentliche readme.txt-Datei des Plugins und Ihre Startseite. Ich habe nicht auf Ihren WordPress-Adminbereich, Ihre Datenbank oder einen privaten Teil der Website zugegriffen.

Insbesondere habe ich niemals etwas an die Checkout- oder Einwilligungsverarbeitung des Plugins gesendet, weder auf Ihrer Website noch anderswo. Es wurde nichts eingereicht, gespeichert, getestet oder ausgenutzt. Das ist hier wichtiger als auf den meisten dieser Seiten, da genau diese Verarbeitung der Kern dieses Problems ist, sodass „ich habe es nicht berührt” den gesamten Unterschied zwischen einer Offenlegung und einem Eindringen ausmacht.

Ich veröffentliche auch absichtlich nicht die Details, die jemandem helfen würden, dieses Problem auszunutzen. Die obige Beschreibung bleibt auf dem Niveau, das ein Website-Betreiber benötigt, und ich verlinke keinen Proof-of-Concept-Code.

Dies ist eine versionsbasierte Beobachtung: Ihre Website meldet Version 1.6.5 oder neuer. Eine Website in diesem Bereich kann bereits durch andere Mittel geschützt sein, etwa eine Web Application Firewall. Dieser Hinweis ist keine Aussage, dass Ihre Website zum Zeitpunkt meiner Prüfung ausnutzbar war.

Ich habe keinen Webmaster / ich komme nicht weiter

Wenn Sie nicht die Person sind, die die Website wartet, leiten Sie diese Seite bitte an diejenige Person weiter, die dies tut (Ihr Webentwickler, Agentur oder Hosting-Anbieter). Sie werden die oben genannten Schritte schnell erkennen.

Wenn Sie die Website selbst warten und feststecken, helfe ich Ihnen gerne kostenlos in die richtige Richtung. Kontaktieren Sie mich über die unten stehenden Kontaktdaten.

Kontakt

Evan Harris, Sicherheitsforscher

Ich kontaktiere Sie bezüglich solcher Probleme ausschließlich, um Betreibern bei der Sicherung ihrer Websites zu helfen. Wenn Sie nicht erneut kontaktiert werden möchten, teilen Sie mir dies einfach mit, und ich werde dies respektieren.

Quellen

Offizielle Meldungen und Nachverfolgung

Hersteller / Plugin