Die Schwachstelle steckt im WooCommerce-Payments-Plugin für WordPress, das Online-Shops die Abwicklung von Zahlungen ermöglicht. Durch einen Fehler in der Prüfung der Benutzeridentität kann ein Angreifer Anfragen so stellen, dass sie vom System einem höher privilegierten Konto – etwa einem Administrator – zugeordnet werden. Dafür sind weder gültige Zugangsdaten noch eine vorherige Anmeldung nötig, und der Angriff lässt sich aus der Ferne über das Netzwerk durchführen. Im Ergebnis verschafft sich ein unauthentifizierter Angreifer administrativen Zugriff auf die betroffene WordPress-Website. Damit kann er praktisch alles tun, was einem Administrator möglich ist: Inhalte ändern, weitere Konten anlegen, Schadcode oder manipulierte Erweiterungen einspielen und so die gesamte Seite dauerhaft unter seine Kontrolle bringen. Betroffen sind Websites, auf denen eine verwundbare Fassung des Plugins installiert und aktiviert ist.