CVE-2026-6506
WysokieStreszczenie
Wtyczka InfusedWoo Pro dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 5.1.2 włącznie. Problem wynika z braku sprawdzenia autoryzacji i uprawnień w funkcji infusedwoo_gdpr_upddata(), co pozwala na aktualizację kluczy meta użytkownika przez atakujących z poziomem dostępu subskrybenta i wyżej.
Ocena ryzyka
Atakujący mogą uzyskać uprawnienia administratora, co stwarza poważne zagrożenie dla bezpieczeństwa całej witryny. Może to prowadzić do nieautoryzowanego dostępu do danych i możliwości wprowadzenia zmian w systemie.
Rekomendacja
Zaleca się aktualizację wtyczki InfusedWoo Pro do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt uprawnień użytkowników w systemie.
Inne podatności w InfusedWoo Pro plugin for WordPress
Zobacz wszystkie- CVE-2026-6514Wysokie
Wtyczka InfusedWoo Pro dla WordPressa jest podatna na nieautoryzowane odczyty plików w wersjach do 5.1.2 włącznie, poprzez funkcję popup_submit. Umożliwia to nieautoryzowanym atakującym wysyłanie żądań do dowolnych lokalizacji, co może prowadzić do zapytań i modyfikacji informacji z wewnętrznych usług.
- CVE-2026-6512Krytyczne
Wtyczka InfusedWoo Pro dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do i włącznie z 5.1.2. Problem wynika z niewłaściwego weryfikowania uprawnień użytkowników do wykonywania określonych działań.
- CVE-2026-6510Krytyczne
Wtyczka InfusedWoo Pro dla WordPressa jest podatna na eskalację uprawnień z powodu braku autoryzacji we wszystkich wersjach do 5.1.2 włącznie. Problem wynika z braku weryfikacji nonce oraz sprawdzenia uprawnień w handlerze AJAX iwar_save_recipe().
Oryginalny opis (angielski, źródło NVD)
The InfusedWoo Pro plugin for WordPress is vulnerable to privilege escalation in all versions up to, and including, 5.1.2. This is due to the infusedwoo_gdpr_upddata() function missing authorization and capability checks, as well as lacking restrictions on which user meta keys can be updated. This makes it possible for authenticated attackers, with subscriber-level access and above, to update their own wp_capabilities user meta to grant themselves Administrator role privileges.