CVE-2026-14182
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Customer Email Verification for WooCommerce dla WordPressa przed wersją 3.2.6 nie poprawnie weryfikuje kodu aktywacyjnego weryfikacji e-mail, opierając się na luźnym porównaniu, które atakujący może spełnić za pomocą spreparowanego typu wartości. Umożliwia to nieuwierzytelnionym użytkownikom weryfikację i przejęcie konta dowolnego zarejestrowanego użytkownika, który nie potwierdził jeszcze swojego adresu e-mail.
Ocena ryzyka
Atakujący może przejąć konta użytkowników, którzy nie potwierdzili adresu e-mail, co może prowadzić do kradzieży danych, oszustw lub nieautoryzowanych działań w ich imieniu.
Rekomendacja
Zaktualizuj wtyczkę Customer Email Verification for WooCommerce do wersji 3.2.6 lub nowszej, która zawiera poprawkę. Rozważ wymuszenie weryfikacji e-maila dla wszystkich kont.
Oryginalny opis (angielski, źródło NVD)
The Customer Email Verification for WooCommerce WordPress plugin before 3.2.6 does not correctly validate the email-verification activation code, relying on a loose comparison that an attacker can satisfy with a crafted value type, allowing unauthenticated users to verify and take over the account of any registered user who has not yet confirmed their email address.