CVE-2026-25448
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka WP ERP (weDevs) do wersji 1.17.10 zawiera podatność typu Missing Authorization wynikającą z niewystarczającej kontroli dostępu. Pozwala ona na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
Ocena ryzyka
Osoba atakująca może wykonać akcje, do których nie ma uprawnień, co może prowadzić do nieautoryzowanego dostępu do danych biznesowych lub funkcji systemu ERP.
Rekomendacja
Zaktualizuj wtyczkę WP ERP do wersji nowszej niż 1.17.10, gdy tylko będzie dostępna, i zweryfikuj konfigurację uprawnień.
Inne podatności w WP ERP
Zobacz wszystkie- CVE-2026-96346Wysokie
Podatność SQL Injection w wtyczce WP ERP w wersjach do 1.17.9, która może być wykorzystana przez użytkownika z rolą autora.
- CVE-2026-96343Wysokie
Podatność PHP Object Injection w wtyczce WP ERP w wersjach do 1.17.9, która może być wykorzystana przez niestandardową rolę użytkownika.
- CVE-2026-59522Średnie
Wtyczka WP ERP w wersji 1.17.5 i starszych pozwala użytkownikom z rolą subskrybenta na złamanie kontroli dostępu. Subskrybent może uzyskać nieuprawnione uprawnienia.
- CVE-2026-13011Średnie
Wtyczka ERP: Complete HR, Accounting & CRM Suite z Recruitment i WooCommerce CRM Support dla WordPress jest podatna na ogólne wstrzykiwanie SQL przez parametr 'orderby' we wszystkich wersjach do 1.17.5 włącznie. Podatność wynika z niedostatecznego oczyszczania parametru i braku odpowiedniego przygotowania zapytania SQL, co umożliwia uwierzytelnionym atakującym z dostępem na poziomie custom i wyższym dołączanie dodatkowych zapytań SQL do istniejących.
- CVE-2025-63008Średnie
Wtyczka WP ERP (wersje do 1.16.7 włącznie) zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Pozwala to na wykorzystanie błędnie skonfigurowanych mechanizmów autoryzacji.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in weDevs WP ERP erp allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects WP ERP: from n/a through 1.17.10.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS