CVE-2025-12086
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Return Refund and Exchange For WooCommerce dla WordPressa do wersji 4.5.5 jest podatna na Insecure Direct Object Reference w punkcie końcowym AJAX 'wps_rma_cancel_return_request' z powodu braku walidacji kontrolowanego przez użytkownika klucza. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej usuwanie żądań zwrotów innych użytkowników.
Ocena ryzyka
Atakujący może usuwać żądania zwrotów innych użytkowników, co może prowadzić do zakłócenia procesów biznesowych, utraty danych i naruszenia integralności systemu.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji, która zawiera poprawkę. Dodatkowo zweryfikuj, czy dostęp do punktu końcowego jest odpowiednio autoryzowany i ograniczony.
Inne podatności w Return Refund and Exchange For WooCommerce
Zobacz wszystkie- CVE-2026-81799Wysokie
Wtyczka Return Refund and Exchange For WooCommerce w wersjach do 4.6.4 zawiera podatność typu Broken Access Control. Nieuwierzytelniony atakujący może obejść mechanizmy kontroli dostępu.
- CVE-2026-77695Średnie
Wtyczka Return Refund and Exchange For WooCommerce przed wersją 4.6.4 nieprawidłowo weryfikuje własność zamówień gości w niektórych akcjach AJAX dostępnych dla nieuwierzytelnionych użytkowników. Pozwala to na odczytywanie prywatnych wiadomości zamówienia, wysyłanie wiadomości i załączników w imieniu klienta oraz anulowanie próśb o zwrot na dowolnym zamówieniu gościa.
Oryginalny opis (angielski, źródło NVD)
The Return Refund and Exchange For WooCommerce plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 4.5.5 via the 'wps_rma_cancel_return_request' AJAX endpoint due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete other users refund requests.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS