CVE-2026-100517
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka Photo Reviews for WooCommerce w wersjach do 1.2.30 zawiera podatność typu Insecure Direct Object References (IDOR), którą może wykorzystać nieuwierzytelniony atakujący. Brak kontroli dostępu pozwala na dostęp do obiektów, do których użytkownik nie powinien mieć uprawnień.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do danych innych użytkowników lub zmodyfikować zasoby, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizować wtyczkę Photo Reviews for WooCommerce do wersji nowszej niż 1.2.30. Do czasu aktualizacji rozważyć ograniczenie dostępu do funkcji związanych z recenzjami.
Inne podatności w Photo Reviews for WooCommerce
Zobacz wszystkie- CVE-2026-100515Wysokie
Podatność polegająca na niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w wtyczce Photo Reviews for WooCommerce (woo-photo-reviews) firmy VillaTheme umożliwia odbity XSS. Problem dotyczy wersji od n/a do 1.2.30.
- CVE-2026-101923Wysokie
Wtyczka Photo Reviews for WooCommerce do WordPressa, w wersjach do 1.2.30 włącznie, jest podatna na arbitralne usuwanie treści. Dzieje się tak, ponieważ wtyczka przechowuje identyfikatory postów kontrolowane przez atakującego w meta komentarza recenzji, bez weryfikacji, czy należą one do zgłaszającego, a funkcja usuwania recenzji bezwarunkowo usuwa wszystkie przechowywane identyfikatory. Pozwala to nieuwierzytelnionym atakującym na trwałe usunięcie dowolnych postów, stron, produktów lub załączników, gdy administrator usunie recenzję atakującego lub gdy cron WordPressa opróżni kosz komentarzy po 30 dniach.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Insecure Direct Object References (IDOR) in Photo Reviews for WooCommerce <= 1.2.30 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS