Registration Form for WooCommerce-lek CVE-2026-119075: via de checkout een beheerdersaccount aanmaken

In de WordPress-plugin Registration Form for WooCommerce van ThemeGrill zit een kritiek beveiligingslek. Het lek heeft het nummer CVE-2026-119075 en krijgt een CVSS-score van 9,8 op 10. Een aanvaller zonder account kan er via het afrekenproces van je webshop een account met beheerdersrechten mee aanmaken. Daarmee heeft hij de volledige controle over je website. Het lek werd op 7 november 2026 gepubliceerd, met Wordfence als uitgever van het CVE-nummer, en zit in alle versies tot en met 1.1.4.

Gebruik je deze plugin om extra velden toe te voegen aan het registratieformulier van je WooCommerce-winkel? Controleer dan vandaag nog welke versie je draait.

Wat doet de plugin?

Met Registration Form for WooCommerce bouw je een eigen registratieformulier voor klanten van je webshop. Je kunt extra velden toevoegen, en je kunt per formulier instellen welke gebruikersrol een nieuwe klant krijgt. Klanten kunnen zich registreren via de pagina Mijn account, maar ook tijdens het afrekenen. Volgens de pluginpagina op WordPress.org heeft de plugin ruim 1.000 actieve installaties. Het is dus geen enorme plugin, maar voor de webshops die hem gebruiken is dit lek ernstig.

Hoe werkt het lek in Registration Form for WooCommerce?

Het probleem zit in de functie validate_checkout_fields() van de plugin. Dat blijkt uit de beschrijving van de kwetsbaarheid, zoals die onder meer bij VulDB en Vulners staat.

Wie zich via Mijn account registreert, wordt netjes gecontroleerd. De plugin kijkt dan of de gekozen rol voorkomt in de lijst met rollen die het formulier toestaat. Bij registratie tijdens het afrekenen ontbreekt die controle. De plugin slaat de waarde van het veld user_roles zonder verdere check op, en die waarde wordt de rol van het nieuwe account.

Een aanvaller hoeft dus alleen een registratie via de checkout te versturen met als rol "administrator". Het resultaat is een nieuw account met volledige beheerdersrechten, zonder dat de aanvaller eerst hoeft in te loggen. Met zo'n account kan iemand plugins installeren, code aanpassen, bestellingen en klantgegevens inzien en de site volledig overnemen.

Is het lek al misbruikt?

Volgens de beschikbare gegevens is er op dit moment geen bekend misbruik. Het lek staat ook niet op de lijst van actief misbruikte kwetsbaarheden van het Amerikaanse CISA. Wel meldt één verzamelsite van kwetsbaarheden dat er een proof of concept bestaat, een stukje code dat laat zien hoe het lek werkt. Dat hebben wij niet bij een tweede bron kunnen bevestigen. Omdat de aanval zo eenvoudig is, is snel updaten verstandig.

Welke versie lost het op?

OpenCVE adviseert bij te werken naar versie 1.1.5 of hoger. De technische verwijzing in het CVE-record wijst ook naar de wijzigingen tussen versie 1.1.4 en 1.1.5. Een officiële changelog met daarin de oplossing hebben wij niet kunnen inzien. Controleer daarom in je WordPress-dashboard of er een update klaarstaat, en kijk op de pluginpagina of 1.1.5 of nieuwer beschikbaar is.

Niet het eerste lek in deze plugin

Opvallend is dat dit al het derde lek in korte tijd is waarmee iemand via deze plugin beheerder kan worden. Eerder dit jaar ging het om CVE-2026-54807, een kritiek lek zonder inlog in versies tot en met 1.0.9, dat in versie 1.1.0 werd verholpen. Daarna volgde CVE-2026-81431 met een CVSS-score van 7,2. Dat lek zat in de versies 1.1.0 tot en met 1.1.2 en werd volgens WPScan en SentinelOne in versie 1.1.3 opgelost. Volgens die bronnen was het een gevolg van een onvolledige oplossing van het eerdere lek.

Steeds hetzelfde soort fout in hetzelfde onderdeel van de plugin is reden om kritisch te kijken of je hem echt nodig hebt.

Wat moet je nu doen?

1. Controleer of je de plugin gebruikt. Ga in je WordPress-dashboard naar Plugins en zoek op "Registration Form for WooCommerce".
2. Werk direct bij naar versie 1.1.5 of hoger. Is er nog geen update zichtbaar, schakel de plugin dan tijdelijk uit tot de update er is.
3. Controleer je gebruikers. Ga naar Gebruikers en filter op de rol Beheerder. Zie je accounts die je niet kent, verwijder ze dan en wijzig de wachtwoorden van de overige beheerders.
4. Kijk naar recente registraties. Let vooral op nieuwe accounts die rond of na 7 november tijdens het afrekenen zijn aangemaakt.
5. Overweeg een alternatief. Heb je alleen een paar extra velden nodig, dan kan dat vaak ook met WooCommerce zelf of met een plugin die beter wordt onderhouden.

Twijfel je of je webshop veilig is? Lees ook onze tips over hoe je je WordPress-site beveiligt tegen hackers. Vorige week schreven we over een vergelijkbaar lek in Security For WooCommerce, waarbij ook zonder inlog een beheerder kon worden aangemaakt. Wil je updates en beveiliging liever uit handen geven? Met ons website-onderhoud en beheer houden we je plugins actueel en controleren we je site op verdachte accounts. Meer actueel nieuws lees je op onze nieuwspagina.

Bronnen: Vulners (CVE-2026-119075), VulDB, OpenCVE, Strix, Patchstack, WPScan (CVE-2026-81431), WordPress.org. Wij konden de bronpagina's niet rechtstreeks openen; de details zijn gebaseerd op samenvattingen uit zoekresultaten.