CVE-2026-49775

Wtyczka Welcart e-Commerce dla WordPressa przed wersją 2.12.1 nie regeneruje identyfikatora sesji podczas uwierzytelniania i ustawia identyfikator sesji z parametru żądania dostarczonego przez użytkownika, co pozwala nieuwierzytelnionemu atakującemu na fiksację sesji członka sklepu i przejęcie jego konta klienta po zalogowaniu ofiary przez spreparowane żądanie.

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Welcart e-Commerce w wersjach do 2.11.31. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.

Wtyczka Welcart e-Commerce dla WordPressa przed wersją 2.11.33 nie weryfikuje autentyczności swojego callbacku rozliczeń dla sklepów convenience / przelewów bankowych: nieuwierzytelnione żądanie może zmienić zamówienie z nieopłaconego na rozliczone wyłącznie na podstawie numeru zamówienia i flagi statusu, bez sprawdzania podpisu, kwoty ani pochodzenia. Ponieważ są to metody płatności późniejszej, atakujący może oznaczyć swoje nieopłacone zamówienie jako rozliczone i otrzymać realizację bez płacenia.

Wtyczka Welcart e-Commerce przed wersją 2.11.34 nie sanityzuje ani nie escapuje pola produktu przed wyświetleniem go na stronach produktów, co pozwala użytkownikom z rolą Autora i wyższym na wstrzykiwanie dowolnych skryptów, które wykonują się w przeglądarce każdego odwiedzającego stronę produktu.