CVE-2026-116866

WysokieCVSS 8.8

Opublikowano: 29/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 29/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 21 - wyżej niż 21% wszystkich znanych CVE

Streszczenie

Wtyczka Extra Fees Plugin for WooCommerce w wersjach do 4.4.0 włącznie zawiera podatność PHP Object Injection, możliwą do wykorzystania przez użytkownika z uprawnieniami Contributor. Luka pozwala na wstrzyknięcie złośliwego obiektu PHP, co może prowadzić do dalszych ataków w zależności od dostępnych gadgetów.

Ocena ryzyka

Użytkownik z rolą Contributor może wykorzystać lukę do eskalacji uprawnień lub wykonania nieautoryzowanych działań w kontekście WordPress/WooCommerce. Może to zagrozić poufności i integralności danych sklepu.

Rekomendacja

Zaktualizuj wtyczkę Extra Fees Plugin for WooCommerce do wersji nowszej niż 4.4.0, która usuwa podatność. Do czasu aktualizacji ogranicz liczbę kont z uprawnieniami Contributor.

Inne podatności w Extra Fees Plugin for WooCommerce

CVE-2026-39671Wysokie
Wtyczka Extra Fees Plugin dla WooCommerce (woo-conditional-product-fees-for-checkout) do wersji 4.3.3 włącznie zawiera podatność na fałszowanie żądań międzywitrynowych (CSRF).

Oryginalny opis (angielski, źródło NVD)

Contributor PHP Object Injection in Extra Fees Plugin for WooCommerce <= 4.4.0 versions.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS