CVE-2026-19836

W Webkul Bagisto do wersji 2.4.6/2.5.0-beta4 wykryto podatność w funkcji masowej aktualizacji statusu faktur w pliku /admin/sales/invoices/mass-update/state. Manipulacja prowadzi do braku autoryzacji, a atak może być przeprowadzony zdalnie. Exploit jest publiczny, a problem został naprawiony w wersji 2.5.0-beta5.

Nieprawidłowe przypisanie uprawnień w komponencie zarządzania użytkownikami w Webkul Bagisto 2.4.9 pozwala uwierzytelnionemu użytkownikowi backendu posiadającemu tylko uprawnienie settings.users.edit na eskalację do pełnego administratora. Endpoint aktualizacji użytkownika nie weryfikuje, czy aktor może przyznać żądaną rolę, nie zapobiega zmianie własnej roli i nie ogranicza przypisywania do ról, których zestaw uprawnień jest podzbiorem uprawnień aktora.

W Webkul Bagisto v2.4.9 nieprawidłowa walidacja parametru ilości w ścieżce dodawania do koszyka pozwala uwierzytelnionym atakującym obniżyć całkowitą wartość zamówienia poniżej legalnej ceny towarów podlegających wysyłce.

Problem w Webkul Bagisto 2.4.9 pozwala zdalnemu atakującemu uzyskać poufne informacje poprzez API add-to-cart oraz komponenty realizacji pobierania.

W Webkul Bagisto do wersji 2.4.4 wykryto podatność polegającą na obejściu autoryzacji w pliku /admin/sales/rma/requests (komponent Backend Sales RMA Endpoint). Manipulacja danymi umożliwia zdalne obejście autoryzacji. Exploit jest publicznie dostępny. Producent potwierdza, że część problemów została już rozwiązana, a pozostałe są planowane do naprawy.

W Webkul Bagisto do wersji 2.4.4 wykryto podatność w pliku /admin/customers (komponent Backend Customer Behavior Data Endpoint). Manipulacja argumentem ID prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent potwierdza, że część problemów została już rozwiązana, a pozostałe są planowane do naprawy.

Podatność XSS w Webkul Bagisto do wersji 2.4.4, w pliku /customer/account/rma/send-message komponentu RMA Message Handler. Manipulacja argumentem Message umożliwia zdalne wykonanie skryptów po stronie przeglądarki. Exploit został publicznie ujawniony.

W Webkul Bagisto do wersji 2.4.4 wykryto podatność w pliku /admin/configuration/cache-management/execute (komponent Configuration Management). Manipulacja argumentem action prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent potwierdza, że część problemów została już rozwiązana, a pozostałe są planowane do naprawy.

W Webkul Bagisto do wersji 2.4.4 wykryto podatność w pliku /customer/account/rma/update-status (komponent RMA State Validation). Manipulacja prowadzi do wymuszenia zachowania workflow. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent potwierdza, że część problemów została już rozwiązana, a pozostałe są planowane do naprawy.

Wykryto podatność w Webkul Bagisto do wersji 2.4.4. Problem dotyczy nieznanego kodu w pliku /admin/reporting/sales/ w komponencie Backend Reporting Endpoint, co prowadzi do obejścia autoryzacji. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny. Producent potwierdza, że część problemów została już rozwiązana, a pozostałe są planowane do naprawy.