CVE-2026-12994
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Wtyczka WCFM – Frontend Manager dla WooCommerce do wersji 6.7.27 włącznie zawiera podatność na pominięcie autoryzacji. Brak weryfikacji uprawnień użytkownika w gałęzi wcfm-my-account-enquiry-manage pozwala nieuwierzytelnionym atakującym na wstrzykiwanie dowolnej treści odpowiedzi do zapytań sklepowych, nadpisywanie głównych rekordów zapytań oraz wysyłanie niechcianych powiadomień e-mail do klientów i sprzedawców.
Ocena ryzyka
Organizacja narażona jest na naruszenie integralności danych w systemie zapytań sklepowych oraz spamowanie klientów i sprzedawców niechcianymi wiadomościami, co może prowadzić do utraty zaufania i obciążenia administracyjnego.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę WCFM – Frontend Manager dla WooCommerce do najnowszej dostępnej wersji, która usuwa tę podatność.
Inne podatności w WCFM – Frontend Manager for WooCommerce
Zobacz wszystkie- CVE-2026-10041Średnie
Wtyczka WCFM – Frontend Manager dla WooCommerce do WordPressa jest podatna na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) we wszystkich wersjach do 6.7.27 włącznie. Podatność występuje w funkcji wcfm_product_archive z powodu braku walidacji klucza kontrolowanego przez użytkownika.
- CVE-2026-4896Wysokie
Wtyczka WCFM – Frontend Manager for WooCommerce dla WordPressa (wersje do 6.7.25 włącznie) zawiera podatność na Insecure Direct Object Reference (IDOR) w wielu akcjach AJAX, takich jak `wcfm_modify_order_status`, `delete_wcfm_article`, `delete_wcfm_product` oraz w kontrolerze zarządzania artykułami. Brak walidacji identyfikatorów obiektów dostarczanych przez użytkownika umożliwia uwierzytelnionym atakującym (z dostępem na poziomie Vendor i wyższym) modyfikację statusu dowolnego zamówienia, usuwanie lub modyfikację dowolnego posta/produktu/strony, niezależnie od własności.
Oryginalny opis (angielski, źródło NVD)
The WCFM – Frontend Manager for WooCommerce plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 6.7.27. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to inject arbitrary reply content into any store inquiry, overwrite the main inquiry record in wp_wcfm_enquiries, and trigger unsolicited notification emails to customers and vendors. Unlike sibling controller branches (wcfm-enquiry and wcfm-enquiry-manage), the wcfm-my-account-enquiry-manage branch performs no is_user_logged_in() or current_user_can() check, and the nonce that serves as the sole barrier is embedded into every public page load without any login gate.