Am 14. Februar 2026 haben wir einen realen und funktionierenden Stored-XSS-Angriffentdeckt, der über eine gefälschte WooCommerce-Bestellung ausgeführt wurde und die Art und Weise ausnutzt, wie PixelYourSite den HTTP-Referer speichert.
Das ist keine Hypothese. Es geschah in einer Produktivumgebung.
So funktioniert der Angriff
- Der Angreifer erstellt eine gefälschte Bestellung.
- Er manipuliert den HTTP-Referer-Header.
- PixelYourSite speichert den Referrer als „Traffic Source“ in den Order-Metadaten.
- Die Daten werden im Admin-Panel ohne Escaping angezeigt.
- Beim Öffnen der Bestellung führt der Browser das bösartige JavaScript aus.
- Das Skript:
- Lädt
/wp-admin/user-new.php - Extrahiert das CSRF-Nonce
- Erstellt über die aktive Admin-Sitzung ein neues Administratorkonto
- Lädt
Es gibt kein Brute Force. Es gibt keinen WordPress-Einbruch.
Verwendet wird Ihre eigene Admin-Sitzung.
Die reale Chronologie
07:01 – Öffnen einer gefälschten Bestellung
07:01 – Das bösartige <script> wird ausgeführt
07:09:33 – user-new.php wird im Hintergrund geladen
07:09:42 – Ein neuer Administrator wird erstellt
07:10 – E-Mail über neuen Benutzer erhalten
07:10:35 – Das Konto wird gelöscht
Das Konto existierte weniger als 1 Minute.
Wie es von außen aussieht
Die Bestellung wirkt völlig normal:
- Vor- und Nachname
- Echte Adresse
- Telefon
- E-Mail (oft proton.me)
- Nachnahme
Der schädliche Code ist im Abschnitt „Traffic Source“ von PixelYourSite verborgen.
Es gibt keinen visuellen Hinweis.
Wer betroffen ist
Jeder WooCommerce-Shop mit aktivem PixelYourSite, der HTTP-Referer speichert und Metadaten im Admin-Panel anzeigt.
Was Sie SOFORT tun sollten
1. ÖFFNEN SIE KEINE BESTELLUNGEN
Öffnen Sie im Admin-Panel absolut keine Bestellungen,
bevor Sie PixelYourSite deaktiviert haben.
Jede geöffnete Order kann XSS erneut auslösen.
2. Deaktivieren Sie PixelYourSite
Schalten Sie das Plugin vorübergehend aus (Deactivate), bis offiziell bestätigt ist, dass das Problem behoben wurde.
3. Prüfen Sie auf kompromittierte Konten
wp-admin → Users
Suchen Sie nach unbekannten Administratoren.
4. Ändern Sie die WordPress-Salts
Erzeugen Sie neue Security Keys und ersetzen Sie sie in der wp-config.php.
5. Prüfen Sie die Datenbank
Suchen Sie nach verdächtigen Einträgen in den Order-Meta-Daten:
<script><iframe><img>- Unbekannte Domains
Wenn Sie sich nicht sicher sind, führen Sie die Prüfung über die Datenbank durch (nicht über das Admin-Interface).
Warum das ernst ist
Das ist Stored XSS in einer administrativen Umgebung.
Der Angreifer:
- Hackt WordPress nicht direkt
- Knackt keine Passwörter
- Verwendet kein SQL Injection
Er wartet, bis der Administrator die Bestellung selbst öffnet.
Eine gefälschte Bestellung reicht für vollständigen Administratorzugriff.
Fazit
Gefälschte Bestellungen sind nicht mehr nur Spam.
Sie können ein Einstiegspunkt für eine vollständige administrative Kompromittierung sein.
Wenn Sie einen WooCommerce-Shop betreiben, reagieren Sie sofort.
Wenn Sie eine Agentur sind, informieren Sie Ihre Kunden.
Sicherheit bricht nicht von innen.
Sie bricht, wenn wir Benutzerdaten ohne Prüfung vertrauen.
