CVE-2025-12133

ŚrednieCVSS 4.3

Opublikowano: 05/12/2025(UTC)Zaktualizowano: 25/09/2026(UTC)Przetłumaczono: 26/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Wtyczka EPROLO Dropshipping dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku kontroli uprawnień w punktach końcowych AJAX wp_ajax_eprolo_delete_tracking i wp_ajax_eprolo_save_tracking_data w wersjach do 2.3.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym modyfikowanie i usuwanie danych śledzenia.

Ocena ryzyka

Atakujący z niskimi uprawnieniami może manipulować danymi śledzenia zamówień, co może prowadzić do naruszenia integralności danych i zakłócenia procesów logistycznych.

Rekomendacja

Zaktualizuj wtyczkę EPROLO Dropshipping do najnowszej wersji, która zawiera poprawkę zabezpieczeń. Dodatkowo ogranicz dostęp do punktów końcowych AJAX tylko dla zaufanych ról.

Inne podatności w EPROLO Dropshipping

CVE-2026-74019Wysokie
Nieuwierzytelniona podatność Broken Access Control we wtyczce EPROLO Dropshipping w wersjach do 2.4.2. Osoba atakująca bez logowania może uzyskać dostęp do funkcji administracyjnych lub innych chronionych zasobów.

Oryginalny opis (angielski, źródło NVD)

The EPROLO Dropshipping plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the wp_ajax_eprolo_delete_tracking and wp_ajax_eprolo_save_tracking_data AJAX endpoints in all versions up to, and including, 2.3.1. This makes it possible for authenticated attackers, with Subscriber-level access and above, to modify and delete tracking data.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS