CVE-2025-12621

ŚrednieCVSS 5.3

Opublikowano: 08/11/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Wtyczka Flexible Refund and Return Order for WooCommerce dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu błędnie skonfigurowanej kontroli uprawnień w funkcji 'create_refund' we wszystkich wersjach do 1.0.42 włącznie. Uwierzytelnieni atakujący z poziomem dostępu Contributor i wyższym mogą aktualizować status żądań zwrotu, w tym zatwierdzać i odrzucać zwroty.

Ocena ryzyka

Atakujący z niskimi uprawnieniami może zatwierdzać lub odrzucać zwroty, co może prowadzić do strat finansowych i nadużyć w procesie zwrotów.

Rekomendacja

Zaktualizuj wtyczkę Flexible Refund and Return Order for WooCommerce do wersji nowszej niż 1.0.42 lub popraw kontrolę uprawnień w funkcji 'create_refund'.

Inne podatności w Flexible Refund and Return Order for WooCommerce

CVE-2026-57402Średnie
Wtyczka Flexible Refund and Return Order for WooCommerce do wersji 1.0.51 zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) poprzez niewłaściwe neutralizowanie danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarkach innych użytkowników.

Oryginalny opis (angielski, źródło NVD)

The Flexible Refund and Return Order for WooCommerce plugin for WordPress is vulnerable to unauthorized modification of data due to a misconfigured capability check on the 'create_refund' function in all versions up to, and including, 1.0.42. This makes it possible for authenticated attackers, with Contributor-level access and above, to update the status of refund requests, including approving and refusing refunds.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS