CVE-2026-48971

ŚrednieCVSS 4.3

Opublikowano: 27/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka Product Import Export for WooCommerce firmy WebToffee zawiera lukę braku autoryzacji, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 2.5.6 włącznie.

Ocena ryzyka

Brak odpowiedniej autoryzacji może pozwolić nieuprawnionym użytkownikom na wykonywanie operacji importu/eksportu danych, co grozi wyciekiem lub modyfikacją danych sklepu. Ryzyko dotyczy witryn z podatną wersją wtyczki.

Rekomendacja

Zaktualizuj wtyczkę Product Import Export for WooCommerce do wersji nowszej niż 2.5.6. Zweryfikuj uprawnienia ról i ogranicz dostęp do funkcji importu/eksportu.

Inne podatności w Product Import Export for WooCommerce

CVE-2026-118989Średnie
Wtyczka Product Import Export for WooCommerce w wersjach od 2.5.1 do przed 2.6.8 zawiera podatność SSRF w funkcji download_remote_file, pozwalającą użytkownikom z rolą shop_manager na dostęp do usług wewnętrznych poprzez przekierowania. Atakujący może podać adres URL pliku .csv, który zwraca przekierowanie HTTP 302 na adres wewnętrzny, powodując pobranie wewnętrznych odpowiedzi i zwrócenie ich jako danych importu.

Oryginalny opis (angielski, źródło NVD)

Missing Authorization vulnerability in WebToffee Product Import Export for WooCommerce allows Exploiting Incorrectly Configured Access Control Security Levels. This issue affects Product Import Export for WooCommerce: from n/a through 2.5.6.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS