CVE-2026-57765
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Wtyczka WP EasyCart dla WordPressa w wersji 5.9.0 i starszych zawiera podatność na wstrzykiwanie SQL przez atrybut 'contributor'. Umożliwia to atakującemu manipulację zapytaniami do bazy danych.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do danych, ich modyfikację lub usunięcie, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki WP EasyCart do najnowszej dostępnej wersji, która usuwa tę podatność.
Inne podatności w WP EasyCart
Zobacz wszystkie- CVE-2026-94124Wysokie
Podatność na wstrzyknięcie SQL z uprawnieniami współautora (Contributor) w wtyczce WP EasyCart w wersjach do 5.9.4.
- CVE-2026-17553Wysokie
Wtyczka WP EasyCart dla WordPressa do wersji 5.9.3 włącznie jest podatna na eskalację uprawnień. Obsługa AJAX ec_ajax_save_page_default_options() iteruje przez wszystkie klucze $_POST i przekazuje je bezpośrednio do update_option() bez listy dozwolonych, a dostęp jest ograniczony tylko do uprawnienia 'manage_options' lub niestandardowego 'wpec_manager'. Wbudowana rola 'wpec_store_manager' posiada 'wpec_manager', ale nie 'manage_options', a nonce jest emitowany na frontendowych szablonach produktów/kategorii, które renderują się dla każdego użytkownika z 'wpec_manager'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Store Managera i wyżej podniesienie swoich uprawnień do administratora poprzez aktualizację opcji WordPress, takich jak default_role='administrator' i users_can_register='1', a następnie samodzielną rejestrację nowego konta z rolą administratora.
- CVE-2025-62997Średnie
Wtyczka WP EasyCart od levelfourdevelopment jest podatna na wstawianie wrażliwych informacji do wysyłanych danych, co pozwala na odzyskanie osadzonych wrażliwych danych. Podatność dotyczy wersji do 5.8.11 włącznie.
Oryginalny opis (angielski, źródło NVD)
Contributor SQL Injection in WP EasyCart <= 5.9.0 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS