CVE-2026-14237
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczki vitepos dla WordPressa przed wersją 3.6.0 oraz Vitepos przed wersją 3.5.0 nie przeprowadzają kontroli autoryzacji per cel w swoim API resetowania hasła punktu sprzedaży i domyślnie przyznają niestandardowej roli Menedżera Outletu zbyt szerokie uprawnienia do resetowania haseł, co pozwala Menedżerowi Outletu zresetować hasło dowolnego użytkownika, w tym administratora, i przejąć konto.
Ocena ryzyka
Osoba z rolą Menedżera Outletu może przejąć konta administratorów, co prowadzi do pełnej kompromitacji systemu i danych.
Rekomendacja
Zaktualizuj wtyczki vitepos i Vitepos do najnowszych wersji, które zawierają poprawki autoryzacji i ograniczenia uprawnień resetowania haseł.
Inne podatności w vitepos WordPress plugin
Zobacz wszystkie- CVE-2026-14238Średnie
Wtyczka vitepos dla WordPressa przed wersją 3.6.0 nie sanityzuje ani nie parametryzuje identyfikatora pobieranego z treści żądania REST przed użyciem go w zapytaniu do bazy danych w jednym z endpointów raportów, co pozwala użytkownikom z dostępem na poziomie administratora na wykonanie wstrzyknięcia SQL.
- CVE-2026-8157Wysokie
Wtyczka Vitepos dla WordPressa w wersjach przed 3.4.2 nie ogranicza poprawnie ról, które mogą być przypisywane podczas tworzenia nowych użytkowników za pomocą jednego z punktów końcowych REST API. Umożliwia to uwierzytelnionym użytkownikom z niestandardową rolą wtyczki Vitepos podniesienie uprawnień do administratora.
Oryginalny opis (angielski, źródło NVD)
The vitepos WordPress plugin before 3.6.0, Vitepos WordPress plugin before 3.5.0 do not perform a per-target authorization check in their point-of-sale password-reset API and grant the custom Outlet Manager role an over-broad password-reset capability by default, allowing an Outlet Manager to reset any user's password, including an administrator's, and take over the account.