CVE-2025-12362
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka myCred – Points Management System For Gamification, Ranks, Badges, and Loyalty Program dla WordPressa do wersji 2.9.7 włącznie jest podatna na brak autoryzacji. Z powodu nieprawidłowej weryfikacji uprawnień, nieuwierzytelnieni atakujący mogą zatwierdzać wnioski o wypłatę, modyfikować salda punktów użytkowników i manipulować systemem płatności za pomocą akcji AJAX cashcred_pay_now.
Ocena ryzyka
Atakujący może manipulować systemem punktowym i płatnościami, co może prowadzić do strat finansowych, naruszenia integralności danych i utraty zaufania użytkowników.
Rekomendacja
Zaleca się aktualizację wtyczki myCred do najnowszej wersji, która zawiera poprawki. Należy również dodać odpowiednie kontrole autoryzacji.
Inne podatności w myCred
Zobacz wszystkie- CVE-2026-17149Średnie
Podatność wtyczki myCred dla WordPress (do wersji 3.2.4 włącznie) polega na przechowywanym ataku XSS przez atrybut 'wrapper' w shortcode. Z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia, uwierzytelnieni atakujący z uprawnieniami współautora mogą wstrzykiwać dowolne skrypty webowe, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2026-15150Średnie
Wtyczka myCred dla WordPressa przed wersją 3.2.5 nie weryfikuje, czy odbiorca przychodzącego powiadomienia z bramki płatniczej odpowiada skonfigurowanemu kontu handlowemu witryny, co pozwala nieuwierzytelnionym atakującym na zasilenie dowolnej ilości waluty wewnętrznej witryny na konto poprzez dokonanie płatności za oczekiwaną kwotę na kontrolowane przez siebie konto bramki, a nie na konto witryny.
- CVE-2026-61968Średnie
Wtyczka myCred dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji do 3.1.2 włącznie.
- CVE-2026-40794Średnie
Wersje myCred do 3.0.3 mają lukę w kontroli dostępu, co pozwala na nieautoryzowany dostęp do zasobów subskrybenta.
- CVE-2026-42676Średnie
Wtyczka myCred jest podatna na przechowywany atak Cross-Site Scripting (XSS) we wszystkich wersjach do 3.0.4 włącznie. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania strony umożliwia atakującym wstrzyknięcie złośliwego skryptu, który jest następnie wykonywany w przeglądarkach innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The myCred – Points Management System For Gamification, Ranks, Badges, and Loyalty Program plugin for WordPress is vulnerable to Missing Authorization in versions up to, and including, 2.9.7. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to approve withdrawal requests, modify user point balances, and manipulate the payment processing system via the cashcred_pay_now AJAX action.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS