CVE-2026-12585
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Abandoned Cart Lite dla WooCommerce przed wersją 6.8.2 nie zabezpiecza integralności tokenów odzyskiwania koszyka ani nie wiąże ich z kontem żądającym. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie linku odzyskiwania, który loguje ich jako innego użytkownika, gdy włączona jest opcja automatycznego logowania.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia konta dowolnego użytkownika bez znajomości jego hasła, co może prowadzić do kradzieży danych, nieautoryzowanych zakupów lub eskalacji uprawnień w sklepie WooCommerce.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Abandoned Cart Lite dla WooCommerce do wersji 6.8.2 lub nowszej. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz opcję automatycznego logowania w ustawieniach wtyczki.
Inne podatności w Abandoned Cart Lite for WooCommerce
Zobacz wszystkie- CVE-2026-65557Średnie
Wtyczka Abandoned Cart Lite for WooCommerce w wersji 6.8.0 i starszych zawiera podatność na atak XSS (Cross Site Scripting) dla użytkowników z rolą Menedżera sklepu. Menedżer sklepu może wstrzyknąć złośliwy skrypt.
- CVE-2026-57637Średnie
Nieuwierzytelniona podatność na fałszowanie żądania międzywitrynowego (CSRF) w wtyczce Abandoned Cart Lite for WooCommerce w wersjach do 6.8.0 włącznie. Atakujący może nakłonić administratora do wykonania niezamierzonych działań bez jego wiedzy.
Oryginalny opis (angielski, źródło NVD)
The Abandoned Cart Lite for WooCommerce WordPress plugin before 6.8.2 does not protect the integrity of its cart-recovery tokens or bind them to the requesting account, allowing unauthenticated attackers to forge a recovery link that logs them in as another user when the automatic-login option is enabled.