CVE-2026-19914

Wtyczka Welcart e-Commerce dla WordPressa jest podatna na wstrzykiwanie obiektów PHP we wszystkich wersjach do 2.12.1 włącznie poprzez deserializację niezaufanych danych wejściowych w wywołaniu zwrotnym płatności Telecom EDY (usces_action_acting_transaction). Nieuwierzytelnieni atakujący mogą przechowywać dowolne pary klucz/wartość 'reserve' jako metadane zamówienia podczas publicznej realizacji transakcji, a następnie wywołać wywołanie zwrotne z wybranym przez atakującego parametrem 'option', aby wybrać i zdeserializować te metadane bez żadnej weryfikacji podpisu dostawcy, adresu źródłowego, tożsamości transakcji ani własności. Łańcuch POP jest obecny w bibliotece TCPDF dołączonej do samej wtyczki, więc nie jest wymagana żadna dodatkowa wtyczka ani motyw. Umożliwia to nieuwierzytelnionym atakującym usunięcie dowolnych plików na serwerze, w tym wp-config.php, co może prowadzić do zdalnego wykonania kodu, gdy atakujący ponownie uruchomi instalator WordPressa przeciwko bazie danych, którą kontroluje. Skuteczne wykorzystanie jest uzależnione od wydrukowania faktury przez administratora w celu wyzwolenia usunięcia pliku.

Wtyczka Welcart e-Commerce dla WordPressa przed wersją 2.12.1 nie regeneruje identyfikatora sesji podczas uwierzytelniania i ustawia identyfikator sesji z parametru żądania dostarczonego przez użytkownika, co pozwala nieuwierzytelnionemu atakującemu na fiksację sesji członka sklepu i przejęcie jego konta klienta po zalogowaniu ofiary przez spreparowane żądanie.

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Welcart e-Commerce w wersjach do 2.11.31. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Wtyczka Welcart e-Commerce dla WordPressa przed wersją 2.11.33 nie weryfikuje autentyczności swojego callbacku rozliczeń dla sklepów convenience / przelewów bankowych: nieuwierzytelnione żądanie może zmienić zamówienie z nieopłaconego na rozliczone wyłącznie na podstawie numeru zamówienia i flagi statusu, bez sprawdzania podpisu, kwoty ani pochodzenia. Ponieważ są to metody płatności późniejszej, atakujący może oznaczyć swoje nieopłacone zamówienie jako rozliczone i otrzymać realizację bez płacenia.

Wtyczka Welcart e-Commerce przed wersją 2.11.34 nie sanityzuje ani nie escapuje pola produktu przed wyświetleniem go na stronach produktów, co pozwala użytkownikom z rolą Autora i wyższym na wstrzykiwanie dowolnych skryptów, które wykonują się w przeglądarce każdego odwiedzającego stronę produktu.

W Welcart e-Commerce w wersjach do 2.11.28 występuje problem z nieautoryzowanym dostępem, który może prowadzić do naruszenia kontroli dostępu.