CVE-2026-27329
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka YITH WooCommerce Wishlist do wersji 4.12.0 zawiera lukę polegającą na obejściu autoryzacji poprzez klucz kontrolowany przez użytkownika. Pozwala to na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Ocena ryzyka
Atakujący może uzyskać dostęp do funkcji lub danych, do których nie powinien mieć uprawnień, co może prowadzić do ujawnienia lub modyfikacji danych w sklepie WooCommerce.
Rekomendacja
Zaktualizuj wtyczkę YITH WooCommerce Wishlist do wersji nowszej niż 4.12.0, jeśli jest dostępna, lub wdroż dodatkowe kontrole dostępu.
Inne podatności w YITH WooCommerce Wishlist
Zobacz wszystkie- CVE-2026-112199Średnie
Wtyczka YITH WooCommerce Wishlist do wersji 4.18.1 zawiera podatność typu Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Złośliwy kod JavaScript może zostać trwale zapisany i wykonany w przeglądarce użytkownika.
- CVE-2025-12427Średnie
Wtyczka YITH WooCommerce Wishlist dla WordPress w wersjach do 4.10.0 włącznie jest podatna na niezabezpieczone odwołanie do obiektu (IDOR) poprzez punkt końcowy REST API i obsługę AJAX z powodu braku walidacji kluczy kontrolowanych przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym odkrycie identyfikatora tokenu listy życzeń dowolnego użytkownika, a następnie zmianę jej nazwy bez autoryzacji.
Oryginalny opis (angielski, źródło NVD)
Authorization Bypass Through User-Controlled Key vulnerability in YITH YITH WooCommerce Wishlist allows Exploiting Incorrectly Configured Access Control Security Levels. This issue affects YITH WooCommerce Wishlist: from n/a through 4.12.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS