CVE-2026-18391
NieznaneStreszczenie
Wtyczka WooCommerce Subscriptions dla WordPressa przed wersją 9.1.0 nie weryfikuje danych wejściowych użytkownika przed ich deserializacją w sklepach z włączonym High-Performance Order Storage, co prowadzi do podatności na PHP Object Injection, którą nieuwierzytelnieni użytkownicy mogą eskalować do zdalnego wykonania kodu (RCE) za pomocą łańcucha gadżetów obecnego w dołączonych zależnościach.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolny kod na serwerze, co może prowadzić do całkowitego przejęcia witryny, kradzieży danych lub zainstalowania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę WooCommerce Subscriptions do wersji 9.1.0 lub nowszej. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie High-Performance Order Storage.
Oryginalny opis (angielski, źródło NVD)
The WooCommerce Subscriptions WordPress plugin before 9.1.0 does not validate user input before unserializing it on stores with High-Performance Order Storage enabled, leading to a PHP Object Injection issue which unauthenticated users can escalate to Remote Code Execution via a gadget chain present in the bundled dependencies.