CVE-2026-66682
KrytyczneCVSS 9.8Streszczenie
Podatność umożliwiająca nieuwierzytelnioną eskalację uprawnień w wtyczce Abandoned Cart Pro for WooCommerce. Dotyczy wersji do 10.4.0 włącznie.
Ocena ryzyka
Atakujący bez uwierzytelnienia może podnieść swoje uprawnienia, co może prowadzić do przejęcia kont administratora i pełnej kontroli nad witryną.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Abandoned Cart Pro for WooCommerce do najnowszej wersji, która eliminuje tę podatność.
Inne podatności w Abandoned Cart Pro for WooCommerce
Zobacz wszystkie- CVE-2026-81543Wysokie
Wtyczka Abandoned Cart Pro for WooCommerce dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 10.7.1 włącznie. Wynika to z braku kontroli uprawnień i weryfikacji nonce w wielu akcjach AJAX, w tym wcap_save_connector_settings, wcap_send_manual_email, wcap_abandoned_cart_info i wcap_change_manual_email_data. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej modyfikację ustawień łącznika SMTP w celu kierowania administracyjnych wiadomości e-mail przez serwer kontrolowany przez atakującego i przechwytywanie linków do automatycznego logowania w celu uzyskania pełnego dostępu administracyjnego. Funkcja automatycznego logowania musi być włączona, co jest domyślną konfiguracją.
- CVE-2026-56010Wysokie
Podatność wtyczki Abandoned Cart Pro dla WooCommerce w wersji 10.4.0 i niższych umożliwia użytkownikom z rolą subskrybenta eskalację uprawnień. Atakujący może wykorzystać tę lukę do uzyskania nieautoryzowanego dostępu do funkcji administracyjnych.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Privilege Escalation in Abandoned Cart Pro for WooCommerce <= 10.4.0 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS