CVE-2026-14332
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Ecwid by Lightspeed Ecommerce Shopping Cart dla WordPressa przed wersją 7.0.9 nie wykonuje sprawdzenia uprawnień ani weryfikacji nonce w jednej z akcji zarządzania sklepem. Umożliwia to każdemu zalogowanemu użytkownikowi, np. subskrybentowi, rozłączenie sklepu i wyłączenie witryny sklepowej do czasu ponownego podłączenia przez administratora.
Ocena ryzyka
Atakujący może celowo wyłączyć sklep internetowy, powodując przerwę w działalności i utratę przychodów. Wymaga to jednak posiadania konta użytkownika, nawet o niskich uprawnieniach.
Rekomendacja
Zaktualizuj wtyczkę Ecwid do wersji 7.0.9 lub nowszej, która zawiera poprawkę. Dodatkowo ogranicz liczbę kont użytkowników i regularnie audytuj uprawnienia.
Oryginalny opis (angielski, źródło NVD)
The Ecwid by Lightspeed Ecommerce Shopping Cart WordPress plugin before 7.0.9 does not perform a capability check or nonce verification on one of its store-management actions, allowing any authenticated user, such as a subscriber, to disconnect the store and take the storefront offline until an administrator reconnects it.