CVE-2026-32548
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Podatność Broken Access Control w wtyczce SureCart w wersjach do 4.6.2 pozwala nieuwierzytelnionemu atakującemu na ominięcie kontroli dostępu.
Ocena ryzyka
Atakujący może uzyskać dostęp do funkcji administracyjnych lub danych, co może prowadzić do naruszenia integralności i poufności.
Rekomendacja
Zaktualizuj wtyczkę SureCart do najnowszej wersji, która zawiera poprawkę bezpieczeństwa.
Inne podatności w SureCart
Zobacz wszystkie- CVE-2026-9065Krytyczne
Wtyczka SureCart w wersji przed 4.2.1 jest podatna na atak SQL Injection z autoryzacją. Podatność występuje w endpoint REST API '/surecart/v1/integrations/{id}' poprzez parametry 'model_name', 'model_id', 'integration_id', 'provider'. Błąd wynika z ominięcia mechanizmu eskejpowania w konstruktorze zapytań 'wp-query-builder' - wartości zawierające kropkę ('.') lub prefiks tabel WordPress ('wp_') nie są odpowiednio sanityzowane.
- CVE-2026-7655Wysokie
Wtyczka SureCart dla WordPressa do wersji 4.2.3 włącznie zawiera podatność na eskalację uprawnień poprzez przejęcie konta. Problem wynika z braku prawidłowej weryfikacji tożsamości użytkownika przed aktualizacją danych, takich jak adres e-mail, podczas synchronizacji profilu klienta z zdarzeń webhook. Umożliwia to nieuwierzytelnionym atakującym zmianę adresu e-mail powiązanego użytkownika, w tym administratora, jeśli jego konto jest połączone z rekordem klienta SureCart, a następnie zresetowanie hasła i przejęcie konta, jeśli znany jest identyfikator klienta.
- CVE-2026-57314Wysokie
Wtyczka SureCart w wersji 4.3.2 i starszych zawiera podatność na nieuwierzytelniony atak typu Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript bez konieczności logowania.
- CVE-2026-39488Średnie
Wtyczka SureCart dla WordPressa do wersji 4.0.2 ma podatność brakującej autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Broken Access Control in SureCart <= 4.6.2 versions.