CVE-2025-10570
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Flexible Refund and Return Order for WooCommerce dla WordPressa jest podatna na brak autoryzacji we wszystkich wersjach do 1.0.38 włącznie, poprzez funkcję save_refund_request(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej składanie wniosków o zwrot dla dowolnych zamówień, których nie posiadają.
Ocena ryzyka
Ryzyko polega na możliwości składania fałszywych wniosków zwrotnych, co może prowadzić do strat finansowych i naruszenia procesów biznesowych.
Rekomendacja
Zaleca się aktualizację wtyczki Flexible Refund and Return Order for WooCommerce do wersji, która zawiera poprawkę braku autoryzacji.
Inne podatności w Flexible Refund and Return Order for WooCommerce
Zobacz wszystkie- CVE-2026-57402Średnie
Wtyczka Flexible Refund and Return Order for WooCommerce do wersji 1.0.51 zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) poprzez niewłaściwe neutralizowanie danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarkach innych użytkowników.
- CVE-2025-12621Średnie
Wtyczka Flexible Refund and Return Order for WooCommerce dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu błędnie skonfigurowanej kontroli uprawnień w funkcji 'create_refund' we wszystkich wersjach do 1.0.42 włącznie. Uwierzytelnieni atakujący z poziomem dostępu Contributor i wyższym mogą aktualizować status żądań zwrotu, w tym zatwierdzać i odrzucać zwroty.
Oryginalny opis (angielski, źródło NVD)
The Flexible Refund and Return Order for WooCommerce plugin for WordPress is vulnerable to Missing Authorization in all versions up to, and including, 1.0.38 via the save_refund_request() function. This makes it possible for authenticated attackers, with subscriber-level access and above, to submit refund requests for arbitrary orders that they do not own.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS