CVE-2026-10041
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka WCFM – Frontend Manager dla WooCommerce do WordPressa jest podatna na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) we wszystkich wersjach do 6.7.27 włącznie. Podatność występuje w funkcji wcfm_product_archive z powodu braku walidacji klucza kontrolowanego przez użytkownika.
Ocena ryzyka
Uwierzytelniony atakujący z dostępem na poziomie subskrybenta lub wyższym może archiwizować produkty dowolnych sprzedawców, przełączać status polecanych ogłoszeń, oznaczać dowolne zamówienia WooCommerce jako zrealizowane oraz trwale usuwać zapytania i wiadomości zbiorcze należące do innych sprzedawców.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę WCFM – Frontend Manager dla WooCommerce do najnowszej dostępnej wersji, która zawiera poprawkę eliminującą podatność IDOR.
Inne podatności w WCFM – Frontend Manager for WooCommerce
Zobacz wszystkie- CVE-2026-12994Średnie
Wtyczka WCFM – Frontend Manager dla WooCommerce do wersji 6.7.27 włącznie zawiera podatność na pominięcie autoryzacji. Brak weryfikacji uprawnień użytkownika w gałęzi wcfm-my-account-enquiry-manage pozwala nieuwierzytelnionym atakującym na wstrzykiwanie dowolnej treści odpowiedzi do zapytań sklepowych, nadpisywanie głównych rekordów zapytań oraz wysyłanie niechcianych powiadomień e-mail do klientów i sprzedawców.
- CVE-2026-4896Wysokie
Wtyczka WCFM – Frontend Manager for WooCommerce dla WordPressa (wersje do 6.7.25 włącznie) zawiera podatność na Insecure Direct Object Reference (IDOR) w wielu akcjach AJAX, takich jak `wcfm_modify_order_status`, `delete_wcfm_article`, `delete_wcfm_product` oraz w kontrolerze zarządzania artykułami. Brak walidacji identyfikatorów obiektów dostarczanych przez użytkownika umożliwia uwierzytelnionym atakującym (z dostępem na poziomie Vendor i wyższym) modyfikację statusu dowolnego zamówienia, usuwanie lub modyfikację dowolnego posta/produktu/strony, niezależnie od własności.
Oryginalny opis (angielski, źródło NVD)
The WCFM – Frontend Manager for WooCommerce plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 6.7.27 via the wcfm_product_archive due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with subscriber-level access and above, to archive arbitrary vendors' products, toggle the featured status on arbitrary listings, mark arbitrary WooCommerce orders as completed, and permanently delete arbitrary enquiries and bulk messages belonging to other vendors.