CVE-2025-62997
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka WP EasyCart od levelfourdevelopment jest podatna na wstawianie wrażliwych informacji do wysyłanych danych, co pozwala na odzyskanie osadzonych wrażliwych danych. Podatność dotyczy wersji do 5.8.11 włącznie.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych danych, które są wysyłane, co może prowadzić do naruszenia poufności i wycieku informacji.
Rekomendacja
Zaleca się aktualizację wtyczki WP EasyCart do najnowszej wersji z poprawką. Należy również sprawdzić, czy nie wyciekły dane.
Inne podatności w WP EasyCart
Zobacz wszystkie- CVE-2026-94124Wysokie
Podatność na wstrzyknięcie SQL z uprawnieniami współautora (Contributor) w wtyczce WP EasyCart w wersjach do 5.9.4.
- CVE-2026-17553Wysokie
Wtyczka WP EasyCart dla WordPressa do wersji 5.9.3 włącznie jest podatna na eskalację uprawnień. Obsługa AJAX ec_ajax_save_page_default_options() iteruje przez wszystkie klucze $_POST i przekazuje je bezpośrednio do update_option() bez listy dozwolonych, a dostęp jest ograniczony tylko do uprawnienia 'manage_options' lub niestandardowego 'wpec_manager'. Wbudowana rola 'wpec_store_manager' posiada 'wpec_manager', ale nie 'manage_options', a nonce jest emitowany na frontendowych szablonach produktów/kategorii, które renderują się dla każdego użytkownika z 'wpec_manager'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Store Managera i wyżej podniesienie swoich uprawnień do administratora poprzez aktualizację opcji WordPress, takich jak default_role='administrator' i users_can_register='1', a następnie samodzielną rejestrację nowego konta z rolą administratora.
- CVE-2026-57765Wysokie
Wtyczka WP EasyCart dla WordPressa w wersji 5.9.0 i starszych zawiera podatność na wstrzykiwanie SQL przez atrybut 'contributor'. Umożliwia to atakującemu manipulację zapytaniami do bazy danych.
Oryginalny opis (angielski, źródło NVD)
Insertion of Sensitive Information Into Sent Data vulnerability in levelfourdevelopment WP EasyCart wp-easycart allows Retrieve Embedded Sensitive Data.This issue affects WP EasyCart: from n/a through <= 5.8.11.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS