CVE-2026-57390

ŚrednieCVSS 6.5

Opublikowano: 13/07/2026(UTC)Zaktualizowano: 13/07/2026(UTC)Przetłumaczono: 14/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

Wtyczka Extra Product Options Builder dla WooCommerce zawiera brak autoryzacji, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.2.167 włącznie.

Ocena ryzyka

Atakujący może uzyskać nieautoryzowany dostęp do funkcji wtyczki, potencjalnie modyfikując opcje produktów lub uzyskując wrażliwe dane, co zagraża integralności sklepu WooCommerce.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki do najnowszej dostępnej wersji oraz weryfikację konfiguracji kontroli dostępu w środowisku produkcyjnym.

Inne podatności w Extra Product Options Builder for WooCommerce

CVE-2026-19728Wysokie
Wtyczka Extra Product Options Builder dla WooCommerce przed wersją 1.2.176 nie weryfikuje uprawnień żądającego do pliku przesłanego przez klienta przed jego udostępnieniem, co umożliwia nieuwierzytelnionym użytkownikom, którzy znają nazwę pliku, jego pobranie. Wtyczka zapisuje regułę deny-all w katalogach uploadu, więc ujawnienie następuje tylko na serwerach honorujących tę regułę, takich jak Apache; na domyślnej konfiguracji nginx pliki są już dostępne bezpośrednio.

Oryginalny opis (angielski, źródło NVD)

Missing Authorization vulnerability in EDGARROJAS Extra Product Options Builder for WooCommerce additional-product-fields-for-woocommerce allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Extra Product Options Builder for WooCommerce: from n/a through <= 1.2.167.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS