CVE-2025-14366

ŚrednieCVSS 5.3

Opublikowano: 13/12/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Wtyczka Eyewear prescription form dla WordPressa do wersji 6.0.1 włącznie jest podatna na brak autoryzacji w akcji AJAX SubmitCatProductRequest. Umożliwia to nieuwierzytelnionym atakującym tworzenie dowolnych produktów WooCommerce z niestandardowymi nazwami, cenami i przypisanymi kategoriami za pomocą parametrów 'Name', 'Price' i 'Parent'.

Ocena ryzyka

Nieuwierzytelniony atakujący może tworzyć fałszywe produkty, co może prowadzić do manipulacji sklepem, oszustw finansowych i utraty zaufania klientów.

Rekomendacja

Zaleca się aktualizację wtyczki Eyewear prescription form do najnowszej wersji, która zawiera poprawki. Należy również dodać odpowiednie kontrole autoryzacji.

Inne podatności w Eyewear prescription form

CVE-2025-14365Średnie
Wtyczka Eyewear prescription form dla WordPressa do wersji 6.0.1 włącznie jest podatna na brak autoryzacji w akcji AJAX RemoveItems. Umożliwia to nieuwierzytelnionym atakującym usuwanie dowolnych kategorii produktów WooCommerce, w tym wszystkich podkategorii, za pomocą parametru 'catIds'.

Oryginalny opis (angielski, źródło NVD)

The Eyewear prescription form plugin for WordPress is vulnerable to Missing Authorization in all versions up to, and including, 6.0.1. This is due to missing authorization checks on the SubmitCatProductRequest AJAX action. This makes it possible for unauthenticated attackers to create arbitrary WooCommerce products with custom names, prices, and category assignments via the 'Name', 'Price', and 'Parent' parameters.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS