CVE-2025-10173
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka ShopEngine Elementor WooCommerce Builder Addon – All in One WooCommerce Solution dla WordPressa do wersji 4.8.3 włącznie ma podatność na nieautoryzowany dostęp z powodu nieprawidłowej kontroli uprawnień w funkcji post_save(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Editora i wyższym aktualizację ustawień wtyczki.
Ocena ryzyka
Nieautoryzowana zmiana ustawień wtyczki może prowadzić do przejęcia kontroli nad sklepem lub wprowadzenia złośliwych zmian.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę do najnowszej wersji, która zawiera poprawkę. Ogranicz dostęp do kont z uprawnieniami Editora i wyższymi.
Inne podatności w ShopEngine Elementor WooCommerce Builder Addon
Zobacz wszystkie- CVE-2026-19088Średnie
Wtyczka ShopEngine Elementor WooCommerce Builder Addon dla WordPressa przed wersją 4.9.3 nie chroni jednego ze swoich punktów końcowych uwierzytelniania przed CSRF, umożliwiając atakującemu zalogowanie ofiary na konto kontrolowane przez atakującego. Dzięki temu dane rozliczeniowe i wysyłkowe, które ofiara następnie wprowadza podczas finalizacji zakupu, są przechowywane i odczytywalne przez atakującego.
- CVE-2025-12358Średnie
Wtyczka ShopEngine Elementor WooCommerce Builder Addon dla WordPressa jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 4.8.5 włącznie. Brak walidacji nonce w funkcji "post_add_to_list" oraz nieprawidłowy callback uprawnień w funkcji "Api/init" pozwalają nieuwierzytelnionemu atakującemu dodawać lub usuwać produkty z listy życzeń użytkownika przez sfałszowane żądanie, jeśli nakłoni użytkownika do kliknięcia linku.
Oryginalny opis (angielski, źródło NVD)
The ShopEngine Elementor WooCommerce Builder Addon – All in One WooCommerce Solution plugin for WordPress is vulnerable to unauthorized access due to an incorrect capability check on the post_save() function in all versions up to, and including, 4.8.3. This makes it possible for authenticated attackers, with Editor-level access and above, to update the plugin's settings.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS