CVE-2026-6020
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Wtyczka ShopLentor dla WordPressa do wersji 3.3.7 włącznie jest podatna na dowolne wykonywanie funkcji przez punkt końcowy REST API `woolentoropt/v1/custom-action`. Metoda `handle_action()` przekazuje dane wejściowe użytkownika bezpośrednio do `call_user_func()` bez listy dozwolonych funkcji zwrotnych. Uwierzytelnieni atakujący z dostępem na poziomie Administratora lub wyższym mogą wykonywać dowolne funkcje PHP.
Ocena ryzyka
Atakujący z uprawnieniami administratora może wykonywać dowolne funkcje PHP, co prowadzi do pełnego przejęcia witryny, w tym wykonania złośliwego kodu i kradzieży danych. Może to również umożliwić eskalację uprawnień i trwałe backdoory.
Rekomendacja
Zaktualizuj wtyczkę ShopLentor do najnowszej wersji z poprawkami. Ogranicz dostęp do punktu końcowego REST i wdróż listę dozwolonych funkcji zwrotnych.
Inne podatności w ShopLentor
Zobacz wszystkie- CVE-2026-16797Średnie
Wtyczka ShopLentor dla WordPressa do wersji 3.4.5 włącznie jest podatna na Insecure Direct Object Reference przez parametr 'optionSection'. Uwierzytelnieni atakujący z dostępem na poziomie contributor i wyższym mogą odczytywać dowolne wiersze opcji WordPressa, w tym dane wewnętrznego kanału aktualizacji, transjenty bloków WooCommerce i konfiguracje innych wtyczek, których wartości są przechowywane jako tablice tablic z kluczami 'title'.
- CVE-2026-6287Średnie
Wtyczka ShopLentor dla WordPressa do wersji 3.3.8 zawiera podatność na przechowywany XSS przez atrybut 'blockUniqId' w blokach Product Grid. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty.
Oryginalny opis (angielski, źródło NVD)
The ShopLentor plugin for WordPress is vulnerable to arbitrary function execution via the woolentoropt/v1/custom-action REST API endpoint in all versions up to, and including, 3.3.7. This is due to the handle_action() method passing user-supplied input directly to call_user_func() without an allowlist of permitted callbacks. This makes it possible for authenticated attackers, with Administrator-level access and above, to execute arbitrary PHP callable functions via the 'callback' parameter.