CVE-2026-105872

WysokieCVSS 7.2

Opublikowano: 09/10/2026(UTC)Zaktualizowano: 11/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Wtyczka Product Configurator for WooCommerce (mklacroix) zawiera podatność deserializacji niezaufanych danych, która pozwala na wstrzyknięcie obiektów. Problem występuje w wersjach do 1.7.5 włącznie.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwe obiekty PHP, co może prowadzić do wykonania kodu lub innych poważnych skutków w kontekście aplikacji WordPress.

Rekomendacja

Zaktualizuj wtyczkę Product Configurator for WooCommerce do wersji nowszej niż 1.7.5 lub ją wyłącz, jeśli poprawka nie jest dostępna.

Inne podatności w Product Configurator for WooCommerce

CVE-2026-11568Wysokie
Wtyczka Product Configurator for WooCommerce dla WordPressa przed wersją 1.7.3 nie przeprowadza autoryzacji ani nie sprawdza statusu publikacji przed zwróceniem danych produktów WooCommerce przez publiczną akcję AJAX. Umożliwia to nieuwierzytelnionym użytkownikom pobranie danych (tytuł, cena, waga, status magazynowy oraz opcje konfiguratora z cenami/SKU) prywatnych i szkicowych produktów poprzez podanie ich identyfikatora, omijając kontrolę widoczności postów WordPress.

Oryginalny opis (angielski, źródło NVD)

Deserialization of Untrusted Data vulnerability in mklacroix Product Configurator for WooCommerce product-configurator-for-woocommerce allows Object Injection.This issue affects Product Configurator for WooCommerce: from n/a through 1.7.5.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS