CVE-2026-16569

ŚrednieCVSS 4.3

Opublikowano: 27/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 27/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Wtyczka Mobile App for WooCommerce: ShopApper Mobile App Builder Service dla WordPressa do wersji 0.4.62 nie sprawdza uprawnień użytkownika przed umożliwieniem operacji aktualizacji stanu magazynowego przez jeden z jej endpointów REST. Pozwala to każdemu uwierzytelnionemu użytkownikowi, takiemu jak klient lub subskrybent, na zmianę ilości stanu magazynowego dowolnych produktów.

Ocena ryzyka

Nieautoryzowana zmiana stanów magazynowych może prowadzić do błędnych zamówień, strat finansowych i problemów operacyjnych w sklepie.

Rekomendacja

Zaktualizuj wtyczkę do wersji nowszej niż 0.4.62, jeśli dostępna. Ogranicz dostęp do endpointów REST tylko dla odpowiednio uprawnionych użytkowników.

Inne podatności w ShopApper Mobile App Builder

CVE-2026-16568Średnie
Wtyczka Mobile App for WooCommerce: ShopApper Mobile App Builder Service dla WordPressa do wersji 0.4.62 nie weryfikuje, czy żądający użytkownik jest właścicielem profilu klienta, który jest odpytywany przez jeden z jej endpointów REST. Pozwala to każdemu uwierzytelnionemu użytkownikowi (np. klientowi/subskrybentowi) na pobieranie danych osobowych innych użytkowników, w tym adresów e-mail, imion i ról.

Oryginalny opis (angielski, źródło NVD)

The Mobile App for WooCommerce: ShopApper Mobile App Builder Service for WooCommerce WordPress plugin through 0.4.62 does not check the user's capabilities before allowing a stock-update operation through one of its REST endpoints, allowing any authenticated user, such as a customer or subscriber, to change the stock quantity of arbitrary products.