CVE-2026-11782
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Points and Rewards for WooCommerce do WordPressa przed wersją 2.10.1 nie posiada kontroli autoryzacji w akcji aktualizacji portfela i punktów, która jest dostępna dla niezalogowanych użytkowników. Nie weryfikuje również, czy żądający jest właścicielem zmienianego konta. Niezalogowani atakujący mogą dowolnie modyfikować lub uszkadzać (w tym ustawiać na ujemne) saldo portfela i punkty lojalnościowe dowolnego użytkownika. Modyfikacja salda portfela wymaga dodatkowo aktywnej wtyczki Wallet System for WooCommerce.
Ocena ryzyka
Atakujący może manipulować saldami portfela i punktami lojalnościowymi, co prowadzi do strat finansowych i naruszenia integralności systemu nagród.
Rekomendacja
Zaktualizuj wtyczkę Points and Rewards for WooCommerce do wersji 2.10.1 lub nowszej.
Inne podatności w Points and Rewards for WooCommerce
Zobacz wszystkie- CVE-2026-93510Średnie
Wtyczka WordPress Points and Rewards for WooCommerce w wersji przed 2.10.4 nie weryfikuje deklarowanej kwoty nagrody ani nie ogranicza dostępu do handlera roszczenia Win Wheel. Uwierzytelnieni użytkownicy z rolą Subscriber i wyższą mogą samodzielnie przyznać sobie dowolną, nieograniczoną liczbę punktów lojalnościowych, a przy aktywnej wtyczce portfela — także saldo portfela.
- CVE-2026-10628Średnie
Wtyczka Points and Rewards for WooCommerce dla WordPressa w wersjach do 2.10.0 zawiera podatność polegającą na pominięciu autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą konwertować i wyczerpywać punkty nagród dowolnych użytkowników, eksfiltrować dane do zewnętrznego konta Klaviyo, nadpisywać klucz API Klaviyo oraz blokować/odblokowywać użytkowników w systemie punktowym. Dodatkowo niezalogowani goście mogą uzyskać ważny token nonce i wykorzystać wybraną akcję.
Oryginalny opis (angielski, źródło NVD)
The Points and Rewards for WooCommerce WordPress plugin before 2.10.1 does not have authorisation checks in place on a wallet and points update action that is available to unauthenticated users, and does not verify that the requester owns the account being changed, allowing unauthenticated attackers to arbitrarily modify or corrupt (including driving it negative) the stored wallet balance and loyalty points of any user. Modifying the wallet balance additionally requires the companion Wallet System for WooCommerce Points and Rewards for WooCommerce WordPress plugin before 2.10.1 to be active.