TI WooCommerce Wishlist: nieuwe lekken, update naar 2.13.0 of hoger

Heb je een WooCommerce-webshop met een verlanglijstje voor klanten? Grote kans dat daar de plugin TI WooCommerce Wishlist achter zit. Volgens Wordfence en diverse plugin-overzichten draait deze plugin op meer dan 100.000 WordPress-sites. Op 12 november 2026 zijn er twee nieuwe CVE-meldingen voor de plugin gepubliceerd: een SQL-injectie (CVE-2026-124647) en een fout in de toegangscontrole (CVE-2026-124648). Eerder werd ook al een lek gemeld waarmee privé-verlanglijstjes via de REST API konden worden uitgelezen (CVE-2026-15261). De oplossing is in alle gevallen hetzelfde: zorg dat je minimaal versie 2.13.0 draait.

Wat is er precies aan de hand met TI WooCommerce Wishlist?

Het gaat om drie afzonderlijke problemen. We zetten ze op een rij, op basis van de beschrijvingen in de kwetsbaarhedendatabases.

CVE-2026-124647, SQL-injectie. Volgens VulDB en OffSeq Threat Radar zuivert de plugin invoer van gebruikers niet goed voordat die in een SQL-opdracht terechtkomt. Dat gebeurt in een endpoint aan de voorkant van de site, en een aanvaller hoeft daarvoor niet ingelogd te zijn. Met een SQL-injectie kan een aanvaller in het slechtste geval gegevens uit de database opvragen. VulDB geeft het lek een CVSS-score van 7,3 (hoog). De melding noemt versies van vóór 2.0.7 als kwetsbaar. Dat zijn oude versies, maar webshops die hun plugins lang niet hebben bijgewerkt, lopen hier dus wel risico.

CVE-2026-124648, onjuiste autorisatie. De plugin controleerde niet of een bezoeker die niet is ingelogd ook echt de eigenaar is van het verlanglijstje van een geregistreerde klant. Wie de deelcode (share key) van een verlanglijstje kende of raadde, kon volgens VulDB en OffSeq producten uit andermans verlanglijstje verwijderen. OffSeq beoordeelt dit als middelzwaar. Dit lek is opgelost in versie 2.13.0.

CVE-2026-15261, privégegevens via de REST API. De REST API van de plugin paste niet dezelfde regels toe als de voorkant van de site. Daardoor konden niet-ingelogde bezoekers gegevens van privé-verlanglijstjes inzien. Ook dit is verholpen in 2.13.0.

Wordt het lek al misbruikt?

Daar is op dit moment geen bevestiging van. De lekken staan niet in de lijst van actief misbruikte kwetsbaarheden van de Amerikaanse cyberdienst CISA, en er is volgens de bronnen geen openbare aanvalscode bevestigd. De officiële score van NVD ontbreekt nog, waardoor de beoordelingen per bron verschillen. Dat is geen reden om te wachten. Zodra details van een lek openbaar zijn, gaan aanvallers vaak snel zoeken naar sites die nog niet zijn bijgewerkt.

Wat zit er in de update?

Volgens de changelog op WordPress.org bevat versie 2.13.0 strengere controles op privé-verlanglijstjes, zowel aan de voorkant als bij AJAX- en winkelwagenacties. Verlanglijstjes van gasten worden beter beschermd met ondertekende cookies, en nieuwe verlanglijstjes krijgen sterkere deelcodes. Ook de REST API is afgeschermd. In versie 2.14.0, die volgens dezelfde pagina eind oktober verscheen, zijn de controles op eigenaarschap en REST-rechten verder aangescherpt. Wij raden daarom aan om meteen naar de nieuwste versie te gaan.

Wat betekent dit voor jou als webshopeigenaar?

Een verlanglijstje lijkt een onschuldige extra, maar elke plugin is een mogelijke ingang naar je website en je klantgegevens. Deze stappen kun je vandaag nog zetten:

1. Ga in je WordPress-dashboard naar Plugins en controleer of TI WooCommerce Wishlist actief is.
2. Staat er een versie lager dan 2.13.0? Maak eerst een back-up en werk de plugin daarna bij naar de nieuwste versie.
3. Gebruik je de verlanglijstfunctie eigenlijk niet meer? Verwijder de plugin dan helemaal.
4. Controleer na de update of het verlanglijstje en de winkelwagen nog goed werken.

Dit is niet het eerste lek in een WooCommerce-uitbreiding deze maand. Eerder schreven we over het lek in Security for WooCommerce. Het laat zien hoe belangrijk het is om plugins structureel bij te houden.

Heb je geen tijd om updates, back-ups en beveiliging zelf in de gaten te houden? Met ons website-onderhoud en beheer nemen we dat werk van je over. Wil je je webshop vernieuwen met minder losse plugins, kijk dan naar webshop laten maken. Meer actueel nieuws over WordPress en beveiliging lees je op onze nieuwspagina.

Bronnen: VulDB: CVE-2026-124647, VulDB: CVE-2026-124648, OffSeq Threat Radar, Wordfence Threat Intel, TI WooCommerce Wishlist op WordPress.org. Wij konden de bronpagina's niet rechtstreeks openen; de details zijn gebaseerd op samenvattingen uit zoekresultaten.