CVE-2026-75861
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Ultimate Gift Cards for WooCommerce przed wersją 3.2.10 nie weryfikuje, czy użytkownik realizujący kartę podarunkową jest jej zamierzonym odbiorcą. Pozwala to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, na realizację kart podarunkowych należących do innych użytkowników, zerując ich saldo i przypisując wartość sobie. W wersji 3.2.9 dodano sprawdzenie własności na jednej z dwóch dotkniętych ścieżek realizacji; pozostała ścieżka wymaga aktywnej wtyczki Ultimate Gift Cards for WooCommerce przed wersją 3.2.10 od tego samego dostawcy.
Ocena ryzyka
Ryzyko obejmuje kradzież wartości kart podarunkowych innych użytkowników, co prowadzi do strat finansowych dla klientów i sklepu oraz naruszenia zaufania.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 3.2.10 lub nowszej, która zawiera poprawkę weryfikacji właściciela karty na wszystkich ścieżkach realizacji.
Inne podatności w Ultimate Gift Cards for WooCommerce
Oryginalny opis (angielski, źródło NVD)
The Ultimate Gift Cards for WooCommerce WordPress plugin before 3.2.10 does not verify that the user redeeming a gift card is its intended recipient, allowing any authenticated user, such as a subscriber, to redeem gift cards belonging to other users, zeroing their balance and crediting the value to themselves. In 3.2.9 an ownership check was added on one of the two affected redemption paths; the one that remains requires a companion Ultimate Gift Cards for WooCommerce WordPress plugin before 3.2.10 from the same vendor to be active.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS