CVE-2026-85009
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka RestroPress dla WordPressa do wersji 3.4.6 nie weryfikuje własności zamówienia w procesie odzyskiwania płatności przed działaniem na podstawie identyfikatora zamówienia z żądania, co pozwala nieuwierzytelnionym atakującym na enumerację zamówień w stanie odzyskiwalnym oraz na dodawanie notatek do zamówień innych klientów.
Ocena ryzyka
Ryzyko obejmuje naruszenie prywatności danych zamówień oraz możliwość manipulacji notatkami, co może wpłynąć na integralność procesu obsługi klienta.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji oraz ograniczenie dostępu do funkcji odzyskiwania płatności.
Inne podatności w RestroPress
Zobacz wszystkie- CVE-2026-85010Średnie
Wtyczka WordPress RestroPress w wersji przed 3.4.6 nie waliduje po stronie serwera ceny dodatków do pozycji dostarczanej przez klienta podczas dodawania lub aktualizacji pozycji w koszyku. Umożliwia to nieuwierzytelnionym użytkownikom ustawienie dowolnej ceny i złożenie zamówienia na wybraną przez atakującego kwotę, aż do zera włącznie.
- CVE-2025-69017Średnie
Podatność typu Stored XSS w RestroPress (wtyczka WordPress) umożliwia atakującemu wstrzyknięcie złośliwego skryptu do strony, który wykona się w przeglądarce użytkownika. Problem dotyczy wersji do 3.2.8.6 włącznie.
Oryginalny opis (angielski, źródło NVD)
The RestroPress WordPress plugin through 3.4.6 does not verify ownership in its payment-recovery flow before acting on a request-supplied order identifier, allowing unauthenticated attackers to enumerate which orders are in a recoverable state and to write notes to another customer's order.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS