CVE-2026-107645
KrytyczneCVSS 9.1Streszczenie
Wtyczka Blocksy Companion do wersji 2.1.58 włącznie jest podatna na eskalację uprawnień. Handler AJAX implement_user_registration() wyłącza kontrolę nonce rejestracji Dokan i ufa dostarczonej przez atakującego wartości $_POST['role'], co pozwala nieuwierzytelnionym atakującym na uzyskanie konta sprzedawcy (seller) i automatyczne zalogowanie, nawet gdy rejestracja vendorów jest wyłączona.
Ocena ryzyka
Atakujący może uzyskać uprawnienia sprzedawcy, co daje możliwość publikowania treści i może prowadzić do dalszych nadużyć, w tym eskalacji do pełnej kontroli nad witryną.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji z poprawką. Jeśli nie jest dostępna, tymczasowo wyłącz funkcję rejestracji użytkowników lub zastosuj dodatkowe zabezpieczenia.
Inne podatności w Blocksy Companion
Zobacz wszystkie- CVE-2026-97247Średnie
Podatność na nieautoryzowany dostęp (Broken Access Control) w Blocksy Companion w wersjach do 2.1.55, bez wymaganego uwierzytelnienia.
- CVE-2026-15158Krytyczne
Wtyczka Blocksy Companion dla WordPressa jest podatna na dowolne przesyłanie plików w wersjach do 2.1.46 włącznie. Podatność wynika z błędnej walidacji rozszerzeń plików w funkcji save_attachments, co pozwala na ominięcie kontroli MIME i przesłanie plików z podwójnym rozszerzeniem, takich jak shell.woff2.php. Atak może prowadzić do zdalnego wykonania kodu, ale wymaga aktywacji premium wersji wtyczki z określonymi rozszerzeniami.
- CVE-2026-18488Średnie
Wtyczka Blocksy Companion dla WordPressa jest podatna na trwały atak XSS poprzez atrybut bloku 'tagName' (blocksy/dynamic-data) we wszystkich wersjach do 2.1.51 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie autora lub wyższym mogą wstrzyknąć złośliwe skrypty, które wykonają się przy każdej wizycie na zainfekowanej stronie.
- CVE-2025-12475Średnie
Wtyczka Blocksy Companion dla WordPressa (do wersji 2.1.14) jest podatna na przechowywany XSS przez shortcode 'blocksy_newsletter_subscribe' z powodu niewystarczającej sanityzacji i braku escape'owania atrybutów.
Oryginalny opis (angielski, źródło NVD)
The Blocksy Companion plugin for WordPress is vulnerable to privilege escalation in versions up to, and including, 2.1.58 This is due to the implement_user_registration() AJAX handler explicitly disabling Dokan's vendor-registration nonce check (via add_filter('dokan_register_nonce_check', '__return_false')) and then trusting an attacker-supplied $_POST['role'] value when invoking wc_create_new_customer() and wc_set_customer_auth_cookie(). This makes it possible for unauthenticated attackers to elevate their privileges to a Dokan 'seller' (vendor) account — including sites where the Dokan vendor signup is explicitly turned off — and to be auto-authenticated into that account, which grants publishing capabilities beyond those of a normal customer.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS