CVE-2026-14566
ŚrednieCVSS 4.3Streszczenie
Wtyczka WordPress advanced-customized-prompts do wersji 1.0.1 nie wykonuje żadnego sprawdzenia uprawnień, własności ani nonce przed aktualizacją metadanych pozycji zamówienia WooCommerce dla podanego zamówienia. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, manipulowanie niestandardowymi metadanymi zamówień należących do innych klientów.
Ocena ryzyka
Uwierzytelniony użytkownik o niskich uprawnieniach może modyfikować metadane zamówień innych klientów, co narusza integralność danych i może prowadzić do błędów w realizacji zamówień lub oszustw. Podważa to zaufanie do procesu zamówień.
Rekomendacja
Zaktualizuj wtyczkę advanced-customized-prompts do wersji nowszej niż 1.0.1 lub ją usuń, jeśli nie jest używana. Sprawdź integralność metadanych zamówień.
Inne podatności w advanced-customized-prompts WordPress plugin
Zobacz wszystkie- CVE-2026-14565Średnie
Wtyczka WordPress advanced-customized-prompts do wersji 1.0.1 nie wykonuje żadnego sprawdzenia uprawnień, własności ani nonce przed zapisaniem konfiguracji popupu do produktu, ani nie escapuje zapisanych wartości przy wyświetlaniu. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, zapisanie kodu JavaScript, który wykona się w przeglądarce odwiedzających dany produkt.
- CVE-2026-14563Krytyczne
Wtyczka WordPress advanced-customized-prompts w wersjach do 1.0.1 nie weryfikuje hasła przed utworzeniem uwierzytelnionej sesji dla podanego adresu e-mail w akcji dostępnej bez uwierzytelnienia. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolny zarejestrowany użytkownik, w tym administrator, lub utworzenie dowolnych nowych kont.
Oryginalny opis (angielski, źródło NVD)
The advanced-customized-prompts WordPress plugin through 1.0.1 does not perform any capability, ownership, or nonce check before updating WooCommerce order item metadata for a supplied order, allowing any authenticated user such as a subscriber to tamper with the custom metadata of orders belonging to other customers.