CVE-2026-15215

WysokieCVSS 8.8

Opublikowano: 07/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 07/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

Wtyczka Subscriptions for WooCommerce dla WordPressa przed wersją 2.0.1 nie weryfikuje uprawnień użytkownika przed instalacją i aktywacją wtyczki z podanego przez użytkownika slug przez akcję AJAX chronioną nonce, co pozwala użytkownikom z rolą Shop Manager (którym brakuje uprawnień do zarządzania tą wtyczką) na instalację i aktywację dowolnych wtyczek, co prowadzi do zdalnego wykonania kodu.

Ocena ryzyka

Atakujący może zainstalować złośliwą wtyczkę i uzyskać pełną kontrolę nad witryną, co może prowadzić do naruszenia danych i przejęcia serwera.

Rekomendacja

Zaktualizuj wtyczkę Subscriptions for WooCommerce do wersji 2.0.1 lub nowszej. Ogranicz uprawnienia roli Shop Manager i monitoruj instalowane wtyczki.

Inne podatności w Subscriptions for WooCommerce WordPress plugin

CVE-2026-15214Średnie
Wtyczka Subscriptions for WooCommerce dla WordPressa przed wersją 2.0.1 nie weryfikuje, czy żądający jest właścicielem subskrypcji przed wyświetleniem jej szczegółów, co pozwala każdemu uwierzytelnionemu klientowi na odczytanie informacji o subskrypcji innego klienta (subskrybowany produkt, status i daty) poprzez podanie jej ID.

Oryginalny opis (angielski, źródło NVD)

The Subscriptions for WooCommerce WordPress plugin before 2.0.1 does not verify the user's capability before installing and activating a Subscriptions for WooCommerce WordPress plugin before 2.0.1 from a user-supplied slug through a nonce-protected AJAX action, allowing users with the Shop Manager role (who lack Subscriptions for WooCommerce WordPress plugin before 2.0.1-management capabilities) to install and activate arbitrary Subscriptions for WooCommerce WordPress plugin before 2.0.1, resulting in remote code execution.