CVE-2025-11518

ŚrednieCVSS 5.3

Opublikowano: 11/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Wtyczka WPC Smart Wishlist dla WooCommerce jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 5.0.3 włącznie, poprzez kilka funkcji AJAX listy życzeń, z powodu braku walidacji klucza kontrolowanego przez użytkownika, który jest ujawniany, gdy listy życzeń są udostępniane. Umożliwia to nieuwierzytelnionym atakującym opróżnianie i dodawanie do list życzeń innych użytkowników, jeśli mają dostęp do klucza.

Ocena ryzyka

Nieuwierzytelniony atakujący może modyfikować listy życzeń innych użytkowników, co może prowadzić do nieautoryzowanych zmian w danych i potencjalnego naruszenia prywatności.

Rekomendacja

Zaktualizuj wtyczkę WPC Smart Wishlist do wersji nowszej niż 5.0.3. Unikaj udostępniania kluczy list życzeń w niezabezpieczony sposób i rozważ ograniczenie dostępu do funkcji AJAX.

Inne podatności w WPC Smart Wishlist for WooCommerce

CVE-2025-11742Średnie
Wtyczka WPC Smart Wishlist dla WooCommerce (WordPress) jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w akcji AJAX 'wishlist_quickview' we wszystkich wersjach do 5.0.4 włącznie. Uwierzytelniony atakujący z rolą Subscriber lub wyższą może przeglądać listy życzeń innych użytkowników.

Oryginalny opis (angielski, źródło NVD)

The WPC Smart Wishlist for WooCommerce plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 5.0.3 via several wishlist AJAX functions due to missing validation on a user controlled key that is exposed when wishlists are shared. This makes it possible for unauthenticated attackers to empty and add to other user's wishlists, if they have access to the key.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS