CVE-2026-1672

ŚrednieCVSS 6.5

Opublikowano: 08/04/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Wtyczka BEAR – Bulk Editor and Products Manager Professional dla WordPressa do wersji 1.1.5 jest podatna na Cross-Site Request Forgery (CSRF) z powodu braku walidacji nonce w funkcji woobe_redraw_table_row(). Niezalogowany atakujący może nakłonić administratora lub menedżera sklepu do kliknięcia w link, co pozwoli na aktualizację danych produktów WooCommerce, takich jak ceny i opisy.

Ocena ryzyka

Organizacja narażona jest na nieautoryzowaną modyfikację danych produktów w sklepie WooCommerce, co może prowadzić do strat finansowych i utraty zaufania klientów.

Rekomendacja

Zaktualizuj wtyczkę BEAR do najnowszej wersji. Poinformuj administratorów o ryzyku klikania w podejrzane linki.

Inne podatności w BEAR – Bulk Editor and Products Manager Professional for WooCommerce

CVE-2026-1673Średnie
Wtyczka BEAR – Bulk Editor and Products Manager Professional for WooCommerce by Pluginus.Net dla WordPressa we wszystkich wersjach do 1.1.5 włącznie jest podatna na Cross-Site Request Forgery z powodu braku walidacji nonce w funkcji woobe_delete_tax_term(). Umożliwia to nieuwierzytelnionym atakującym usunięcie terminów taksonomii WooCommerce (kategorie, tagi itp.) za pomocą sfałszowanego żądania, pod warunkiem że nakłonią administratora witryny lub menedżera sklepu do wykonania akcji, takiej jak kliknięcie linku.

Oryginalny opis (angielski, źródło NVD)

The BEAR – Bulk Editor and Products Manager Professional for WooCommerce by Pluginus.Net plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 1.1.5. This is due to missing nonce validation on the woobe_redraw_table_row() function. This makes it possible for unauthenticated attackers to update WooCommerce product data including prices, descriptions, and other product fields via a forged request granted they can trick a site administrator or shop manager into performing an action such as clicking on a link.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS