CVE-2025-62049
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka Cost Calculator Builder (Stylemix) do wersji 3.5.32 włącznie ma podatność na brak autoryzacji (Missing Authorization). Oznacza to, że nieautoryzowani użytkownicy mogą uzyskać dostęp do funkcji, które powinny być chronione.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do funkcji wtyczki, co może prowadzić do modyfikacji ustawień lub danych kalkulatora kosztów.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, która naprawia problem, oraz sprawdzenie konfiguracji uprawnień.
Inne podatności w Cost Calculator Builder
Zobacz wszystkie- CVE-2026-97307Wysokie
Wtyczka Cost Calculator Builder do wersji 4.0.17 zawiera podatność polegającą na umieszczaniu wrażliwych informacji w wysyłanych danych. Umożliwia to odzyskanie osadzonych danych wrażliwych.
- CVE-2026-7753Średnie
Wtyczka Cost Calculator Builder dla WordPressa do wersji 3.6.17 włącznie jest podatna na nieautoryzowany dostęp do wrażliwych danych z powodu braku sprawdzenia uprawnień w akcji AJAX `cost-calculator-custom-export-run`. Obsługa weryfikuje tylko nonce, które jest dostępne na każdej stronie wp-admin, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta na eksport pełnej konfiguracji kalkulatorów, w tym kluczy tajnych Stripe, PayPal, Razorpay, webhook i reCAPTCHA.
- CVE-2026-10865Średnie
Wtyczka Cost Calculator Builder dla WordPressa do wersji 4.0.11 włącznie ujawnia wrażliwe dane uwierzytelniające do bramek płatności (Stripe, Razorpay, PayPal) w kodzie źródłowym strony. Niezautoryzowany atakujący może wyodrębnić te dane, gdy opcja 'użyj we wszystkich kalkulatorach' jest włączona dla co najmniej jednej bramki płatności.
- CVE-2025-14755Średnie
Wtyczka Cost Calculator Builder dla WordPress (do wersji 4.0.1 włącznie) w połączeniu z wersją PRO jest podatna na nieautoryzowaną manipulację ceną i niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Atakujący bez logowania może dodać produkty WooCommerce do koszyka z dowolnie ustawioną ceną.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in Stylemix Cost Calculator Builder cost-calculator-builder.This issue affects Cost Calculator Builder: from n/a through <= 3.5.32.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS