CVE-2026-4896
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Wtyczka WCFM – Frontend Manager for WooCommerce dla WordPressa (wersje do 6.7.25 włącznie) zawiera podatność na Insecure Direct Object Reference (IDOR) w wielu akcjach AJAX, takich jak `wcfm_modify_order_status`, `delete_wcfm_article`, `delete_wcfm_product` oraz w kontrolerze zarządzania artykułami. Brak walidacji identyfikatorów obiektów dostarczanych przez użytkownika umożliwia uwierzytelnionym atakującym (z dostępem na poziomie Vendor i wyższym) modyfikację statusu dowolnego zamówienia, usuwanie lub modyfikację dowolnego posta/produktu/strony, niezależnie od własności.
Ocena ryzyka
Atakujący z uprawnieniami Vendor może manipulować dowolnymi zamówieniami i treściami w WordPressie, co prowadzi do naruszenia integralności danych i potencjalnie do oszustw finansowych.
Rekomendacja
Zaktualizuj wtyczkę WCFM do wersji 6.7.26 lub nowszej, która zawiera poprawkę walidacji identyfikatorów obiektów. Jeśli aktualizacja nie jest dostępna, tymczasowo ogranicz uprawnienia użytkowników z rolą Vendor.
Inne podatności w WCFM – Frontend Manager for WooCommerce
Zobacz wszystkie- CVE-2026-12994Średnie
Wtyczka WCFM – Frontend Manager dla WooCommerce do wersji 6.7.27 włącznie zawiera podatność na pominięcie autoryzacji. Brak weryfikacji uprawnień użytkownika w gałęzi wcfm-my-account-enquiry-manage pozwala nieuwierzytelnionym atakującym na wstrzykiwanie dowolnej treści odpowiedzi do zapytań sklepowych, nadpisywanie głównych rekordów zapytań oraz wysyłanie niechcianych powiadomień e-mail do klientów i sprzedawców.
- CVE-2026-10041Średnie
Wtyczka WCFM – Frontend Manager dla WooCommerce do WordPressa jest podatna na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) we wszystkich wersjach do 6.7.27 włącznie. Podatność występuje w funkcji wcfm_product_archive z powodu braku walidacji klucza kontrolowanego przez użytkownika.
Oryginalny opis (angielski, źródło NVD)
The WCFM – Frontend Manager for WooCommerce along with Bookings Subscription Listings Compatible plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 6.7.25 via multiple AJAX actions including `wcfm_modify_order_status`, `delete_wcfm_article`, `delete_wcfm_product`, and the article management controller due to missing validation on user-supplied object IDs. This makes it possible for authenticated attackers, with Vendor-level access and above, to modify the status of any order, delete or modify any post/product/page, regardless of ownership.