CVE-2025-11742

ŚrednieCVSS 4.3

Opublikowano: 18/10/2025(UTC)Zaktualizowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

Wtyczka WPC Smart Wishlist dla WooCommerce (WordPress) jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w akcji AJAX 'wishlist_quickview' we wszystkich wersjach do 5.0.4 włącznie. Uwierzytelniony atakujący z rolą Subscriber lub wyższą może przeglądać listy życzeń innych użytkowników.

Ocena ryzyka

Naruszenie poufności danych innych użytkowników, w tym informacji o ich preferencjach i listach życzeń. Może to prowadzić do wycieku danych osobowych lub handlowych.

Rekomendacja

Zaktualizuj wtyczkę WPC Smart Wishlist do wersji nowszej niż 5.0.4, która naprawia brakującą kontrolę uprawnień. Rozważ ograniczenie dostępu do akcji AJAX tylko dla uprawnionych ról.

Inne podatności w WPC Smart Wishlist for WooCommerce

CVE-2025-11518Średnie
Wtyczka WPC Smart Wishlist dla WooCommerce jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 5.0.3 włącznie, poprzez kilka funkcji AJAX listy życzeń, z powodu braku walidacji klucza kontrolowanego przez użytkownika, który jest ujawniany, gdy listy życzeń są udostępniane. Umożliwia to nieuwierzytelnionym atakującym opróżnianie i dodawanie do list życzeń innych użytkowników, jeśli mają dostęp do klucza.

Oryginalny opis (angielski, źródło NVD)

The WPC Smart Wishlist for WooCommerce plugin for WordPress is vulnerable to unauthorized access of data due to a missing capability check on the 'wishlist_quickview' AJAX action in all versions up to, and including, 5.0.4. This makes it possible for authenticated attackers, with Subscriber-level access and above, to view other user's wishlist data and information.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS