CVE-2026-66676
ŚrednieCVSS 5.3Streszczenie
Podatność nieuwierzytelnionego złamania kontroli dostępu (Broken Access Control) w wtyczce Easy Invoice w wersjach do 2.3.8 włącznie. Niezalogowani użytkownicy mogą uzyskać dostęp do funkcji faktur i zarządzania, które powinny być chronione.
Ocena ryzyka
Atakujący może przeglądać lub modyfikować faktury, co może prowadzić do wycieku danych finansowych firmy lub klientów. Może to naruszyć poufność i integralność danych.
Rekomendacja
Zalecana jest aktualizacja wtyczki Easy Invoice do wersji 2.3.9 lub nowszej. Należy również skonfigurować odpowiednie reguły dostępu i monitorować logi.
Inne podatności w Easy Invoice
Zobacz wszystkie- CVE-2026-9021Średnie
Wtyczka Easy Invoice dla WordPressa do wersji 2.1.19 włącznie jest podatna na brak autoryzacji. Rejestruje ona akcje AJAX easy_invoice_accept_quote i easy_invoice_decline_quote przez hooki wp_ajax_nopriv_, polegając wyłącznie na nonce powiązanym z wyceną, który jest osadzony w publicznie dostępnym szablonie pojedynczej wyceny. W połączeniu z domyślnie wyłączoną opcją Pro (easy_invoice_pro_restrict_quote_to_client) umożliwia to nieuwierzytelnionym atakującym akceptowanie lub odrzucanie dowolnych opublikowanych wycen, a w zależności od skonfigurowanej akcji akceptacji, automatyczne przekształcanie ich w faktury (nawet z wysyłką e-mailem do klienta) poprzez pozyskanie nonce z publicznej strony wyceny i przesłanie go do admin-ajax.
- CVE-2026-48836Krytyczne
W wersjach Easy Invoice <= 2.1.19 występuje podatność na zdalne wykonanie kodu (RCE) bez uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Broken Access Control in Easy Invoice <= 2.3.8 versions.