CVE-2025-14365

ŚrednieCVSS 5.3

Opublikowano: 13/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Wtyczka Eyewear prescription form dla WordPressa do wersji 6.0.1 włącznie jest podatna na brak autoryzacji w akcji AJAX RemoveItems. Umożliwia to nieuwierzytelnionym atakującym usuwanie dowolnych kategorii produktów WooCommerce, w tym wszystkich podkategorii, za pomocą parametru 'catIds'.

Ocena ryzyka

Nieuwierzytelniony atakujący może usunąć kategorie produktów, co prowadzi do zakłócenia działania sklepu, utraty danych i negatywnego wpływu na sprzedaż.

Rekomendacja

Zaleca się aktualizację wtyczki Eyewear prescription form do najnowszej wersji, która zawiera poprawki. Należy również dodać odpowiednie kontrole autoryzacji.

Inne podatności w Eyewear prescription form

CVE-2025-14366Średnie
Wtyczka Eyewear prescription form dla WordPressa do wersji 6.0.1 włącznie jest podatna na brak autoryzacji w akcji AJAX SubmitCatProductRequest. Umożliwia to nieuwierzytelnionym atakującym tworzenie dowolnych produktów WooCommerce z niestandardowymi nazwami, cenami i przypisanymi kategoriami za pomocą parametrów 'Name', 'Price' i 'Parent'.

Oryginalny opis (angielski, źródło NVD)

The Eyewear prescription form plugin for WordPress is vulnerable to Missing Authorization in all versions up to, and including, 6.0.1. This is due to missing capability checks on the RemoveItems AJAX action. This makes it possible for unauthenticated attackers to delete arbitrary WooCommerce product categories, including all of their child categories, via the 'catIds' parameter.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS