CVE-2026-19887
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Wtyczka Welcart e-Commerce dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do 2.12.1 włącznie poprzez deserializację niezaufanych danych wejściowych w wywołaniu zwrotnym płatności Telecom EDY (usces_action_acting_transaction). Nieuwierzytelnieni atakujący mogą przechowywać dowolne pary klucz/wartość 'reserve' jako metadane zamówienia podczas publicznej realizacji transakcji, a następnie wywołać wywołanie zwrotne z wybranym przez atakującego parametrem 'option', aby wybrać i zdeserializować te metadane bez żadnej weryfikacji podpisu dostawcy, adresu źródłowego, tożsamości transakcji ani własności. Łańcuch POP jest obecny w bibliotece TCPDF dołączonej do samej wtyczki, więc nie jest wymagana żadna dodatkowa wtyczka ani motyw. Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych plików na serwerze, w tym wp-config.php, co może prowadzić do zdalnego wykonania kodu, gdy atakujący ponownie uruchomi instalator WordPressa przeciwko bazie danych, którą kontroluje. Skuteczne wykorzystanie jest uzależnione od wydrukowania faktury przez administratora w celu wyzwolenia usunięcia pliku.
Ocena ryzyka
Ryzyko obejmuje zdalne wykonanie kodu i całkowitą kompromitację serwera, co może prowadzić do naruszenia poufności, integralności i dostępności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do wersji z poprawką oraz wdrożenie walidacji i sanityzacji danych wejściowych w wywołaniach zwrotnych płatności.
Inne podatności w Welcart e-Commerce
Zobacz wszystkie- CVE-2026-19914Wysokie
Wtyczka Welcart e-Commerce dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'custom_order' we wszystkich wersjach do 2.12.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wstrzyknięty payload jest dostarczany przez formularz zamówienia gościa, nie wymaga uwierzytelnienia, a wykonuje się, gdy administrator przegląda dotknięte zamówienie w panelu administracyjnym WordPressa.
- CVE-2025-15671Średnie
Wtyczka Welcart e-Commerce dla WordPressa przed wersją 2.12.1 nie regeneruje identyfikatora sesji podczas uwierzytelniania i ustawia identyfikator sesji z parametru żądania dostarczonego przez użytkownika, co pozwala nieuwierzytelnionemu atakującemu na fiksację sesji członka sklepu i przejęcie jego konta klienta po zalogowaniu ofiary przez spreparowane żądanie.
- CVE-2026-27539Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Welcart e-Commerce w wersjach do 2.11.31. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-15213Średnie
Wtyczka Welcart e-Commerce dla WordPressa przed wersją 2.11.33 nie weryfikuje autentyczności swojego callbacku rozliczeń dla sklepów convenience / przelewów bankowych: nieuwierzytelnione żądanie może zmienić zamówienie z nieopłaconego na rozliczone wyłącznie na podstawie numeru zamówienia i flagi statusu, bez sprawdzania podpisu, kwoty ani pochodzenia. Ponieważ są to metody płatności późniejszej, atakujący może oznaczyć swoje nieopłacone zamówienie jako rozliczone i otrzymać realizację bez płacenia.
- CVE-2026-16066Średnie
Wtyczka Welcart e-Commerce przed wersją 2.11.34 nie sanityzuje ani nie escapuje pola produktu przed wyświetleniem go na stronach produktów, co pozwala użytkownikom z rolą Autora i wyższym na wstrzykiwanie dowolnych skryptów, które wykonują się w przeglądarce każdego odwiedzającego stronę produktu.
- CVE-2026-49775Średnie
W Welcart e-Commerce w wersjach do 2.11.28 występuje problem z nieautoryzowanym dostępem, który może prowadzić do naruszenia kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Welcart e-Commerce plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 2.12.1 via deserialization of untrusted input in the Telecom EDY payment callback (usces_action_acting_transaction). Unauthenticated attackers can store arbitrary 'reserve' key/value pairs as order metadata during a public checkout, then invoke the callback with an attacker-chosen 'option' parameter to select and unserialize that metadata without any provider signature, source-address, transaction-identity or ownership check. A POP chain is present in the TCPDF library bundled with the plugin itself, so no additional plugin or theme is required. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, including wp-config.php, which can lead to remote code execution when an attacker re-runs the WordPress installer against a database they control. Successful exploitation is contingent on an admin printing an invoice to trigger file deletion.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS