CVE-2026-79411
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Nieprawidłowe przypisanie uprawnień w komponencie zarządzania użytkownikami w Webkul Bagisto 2.4.9 pozwala uwierzytelnionemu użytkownikowi backendu posiadającemu tylko uprawnienie settings.users.edit na eskalację do pełnego administratora. Endpoint aktualizacji użytkownika nie weryfikuje, czy aktor może przyznać żądaną rolę, nie zapobiega zmianie własnej roli i nie ogranicza przypisywania do ról, których zestaw uprawnień jest podzbiorem uprawnień aktora.
Ocena ryzyka
Osoba z niskimi uprawnieniami może uzyskać pełną kontrolę nad panelem administracyjnym, w tym konfigurację sklepu, dane dostępowe do bramek płatności i dane osobowe klientów.
Rekomendacja
Zaktualizuj Webkul Bagisto do wersji z poprawką, która weryfikuje uprawnienia przy przypisywaniu ról i zapobiega samodzielnej eskalacji.
Inne podatności w Webkul Bagisto
Zobacz wszystkie- CVE-2026-79410Wysokie
W Webkul Bagisto v2.4.9 nieprawidłowa walidacja parametru ilości w ścieżce dodawania do koszyka pozwala uwierzytelnionym atakującym obniżyć całkowitą wartość zamówienia poniżej legalnej ceny towarów podlegających wysyłce.
- CVE-2026-79409Średnie
Problem w Webkul Bagisto 2.4.9 pozwala zdalnemu atakującemu uzyskać poufne informacje poprzez API add-to-cart oraz komponenty realizacji pobierania.
- CVE-2026-19997Średnie
W Webkul Bagisto do wersji 2.4.4 wykryto podatność polegającą na obejściu autoryzacji w pliku /admin/sales/rma/requests (komponent Backend Sales RMA Endpoint). Manipulacja danymi umożliwia zdalne obejście autoryzacji. Exploit jest publicznie dostępny. Producent potwierdza, że część problemów została już rozwiązana, a pozostałe są planowane do naprawy.
- CVE-2026-19996Średnie
W Webkul Bagisto do wersji 2.4.4 wykryto podatność w pliku /admin/customers (komponent Backend Customer Behavior Data Endpoint). Manipulacja argumentem ID prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent potwierdza, że część problemów została już rozwiązana, a pozostałe są planowane do naprawy.
- CVE-2026-19995Niskie
Podatność XSS w Webkul Bagisto do wersji 2.4.4, w pliku /customer/account/rma/send-message komponentu RMA Message Handler. Manipulacja argumentem Message umożliwia zdalne wykonanie skryptów po stronie przeglądarki. Exploit został publicznie ujawniony.
- CVE-2026-19994Średnie
W Webkul Bagisto do wersji 2.4.4 wykryto podatność w pliku /admin/configuration/cache-management/execute (komponent Configuration Management). Manipulacja argumentem action prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent potwierdza, że część problemów została już rozwiązana, a pozostałe są planowane do naprawy.
- CVE-2026-19993Średnie
W Webkul Bagisto do wersji 2.4.4 wykryto podatność w pliku /customer/account/rma/update-status (komponent RMA State Validation). Manipulacja prowadzi do wymuszenia zachowania workflow. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent potwierdza, że część problemów została już rozwiązana, a pozostałe są planowane do naprawy.
- CVE-2026-19838Średnie
Wykryto podatność w Webkul Bagisto do wersji 2.4.4. Problem dotyczy nieznanego kodu w pliku /admin/reporting/sales/ w komponencie Backend Reporting Endpoint, co prowadzi do obejścia autoryzacji. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny. Producent potwierdza, że część problemów została już rozwiązana, a pozostałe są planowane do naprawy.
- CVE-2026-19837Niskie
W Webkul Bagisto do wersji 2.4.4 zidentyfikowano słabość w pliku /admin/customers/search komponentu Customer Search. Manipulacja argumentem Query może prowadzić do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Producent potwierdza, że problemy są już znane i częściowo naprawione.
- CVE-2026-19836Średnie
Wykryto podatność w Webkul Bagisto do wersji 2.4.4. Problem dotyczy nieznanej funkcjonalności w pliku /admin/customers/view w komponencie Backend Customer Detail Feature. Manipulacja argumentem ID prowadzi do obejścia autoryzacji. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny. Producent potwierdza, że część problemów została już rozwiązana, a pozostałe są planowane do naprawy.
Oryginalny opis (angielski, źródło NVD)
Incorrect privilege assignment in the admin user-management component of Webkul Bagisto 2.4.9 allows an authenticated backend user holding only the settings.users.edit permission to escalate to full administrator. The user-update endpoint (route admin.settings.users.update, UserController::update()) does not verify that the actor is permitted to grant the requested role, does not prevent a user from changing their own role, and does not restrict assignment to roles whose permission set is a subset of the actor's own. By submitting a request that sets role_id to the Administrator role for their own account, a low-privileged administrator gains every admin-panel capability, including store configuration, payment gateway credentials, and customer PII.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS