CVE-2026-42718
KrytyczneCVSS 9.8Streszczenie
Wtyczka Booster for WooCommerce w wersjach do 8.4.0 włącznie zawiera podatność typu PHP Object Injection, którą może wykorzystać nieuwierzytelniony atakujący. Brak wymaganej autoryzacji pozwala na eksploatację bez posiadania konta.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy obiekt PHP, co potencjalnie prowadzi do wykonania kodu, ujawnienia danych lub przejęcia kontroli nad sklepem. Zagrożenie zależy od dostępnych gadgetów w aplikacji.
Rekomendacja
Zaktualizuj wtyczkę Booster for WooCommerce do wersji nowszej niż 8.4.0 lub ją wyłącz. Rozważ audyt kodu pod kątem niebezpiecznej deserializacji.
Inne podatności w Booster for WooCommerce
Zobacz wszystkie- CVE-2026-56027Krytyczne
Wtyczka Booster for WooCommerce w wersji 8.0.1 i starszych umożliwia nieautoryzowane przesyłanie dowolnych plików przez klienta. Podatność ta może zostać wykorzystana do wgrania złośliwego oprogramowania na serwer.
- CVE-2025-64380Średnie
Podatność typu Stored Cross-Site Scripting (XSS) w Booster for WooCommerce (wersje do 7.3.2). Umożliwia atakującemu wstrzyknięcie trwałego skryptu, który wykona się w przeglądarce ofiary.
- CVE-2025-64379Średnie
Podatność braku autoryzacji w Booster for WooCommerce (woocommerce-jetpack) pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 7.4.0 włącznie.
- CVE-2024-13342Wysokie
Wtyczka Booster for WooCommerce dla WordPress jest podatna na przesyłanie dowolnych plików z powodu braku walidacji typu pliku w funkcji 'add_files_to_order' we wszystkich wersjach do 7.2.4 włącznie. Nieuwierzytelniony atakujący może przesłać pliki z podwójnym rozszerzeniem, co może umożliwić zdalne wykonanie kodu w niektórych konfiguracjach.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated PHP Object Injection in Booster for WooCommerce <= 8.4.0 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS