CVE-2025-12358
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka ShopEngine Elementor WooCommerce Builder Addon dla WordPressa jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 4.8.5 włącznie. Brak walidacji nonce w funkcji "post_add_to_list" oraz nieprawidłowy callback uprawnień w funkcji "Api/init" pozwalają nieuwierzytelnionemu atakującemu dodawać lub usuwać produkty z listy życzeń użytkownika przez sfałszowane żądanie, jeśli nakłoni użytkownika do kliknięcia linku.
Ocena ryzyka
Atakujący może modyfikować listy życzeń użytkowników, co może prowadzić do niepożądanych zmian w ich kontach i pogorszenia zaufania do sklepu.
Rekomendacja
Zaktualizuj wtyczkę ShopEngine do wersji nowszej niż 4.8.5 lub ją wyłącz, jeśli poprawka nie jest dostępna.
Inne podatności w ShopEngine Elementor WooCommerce Builder Addon
Zobacz wszystkie- CVE-2026-19088Średnie
Wtyczka ShopEngine Elementor WooCommerce Builder Addon dla WordPressa przed wersją 4.9.3 nie chroni jednego ze swoich punktów końcowych uwierzytelniania przed CSRF, umożliwiając atakującemu zalogowanie ofiary na konto kontrolowane przez atakującego. Dzięki temu dane rozliczeniowe i wysyłkowe, które ofiara następnie wprowadza podczas finalizacji zakupu, są przechowywane i odczytywalne przez atakującego.
- CVE-2025-10173Niskie
Wtyczka ShopEngine Elementor WooCommerce Builder Addon – All in One WooCommerce Solution dla WordPressa do wersji 4.8.3 włącznie ma podatność na nieautoryzowany dostęp z powodu nieprawidłowej kontroli uprawnień w funkcji post_save(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Editora i wyższym aktualizację ustawień wtyczki.
Oryginalny opis (angielski, źródło NVD)
The ShopEngine Elementor WooCommerce Builder Addon plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 4.8.5. This is due to missing nonce validation on the "post_add_to_list" function as well as an incorrect permissions callback in the "Api/init" function. This makes it possible for unauthenticated attackers to add or remove products from a user's wishlist via a forged request granted they can trick a site's user into performing an action such as clicking on a link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS