CVE-2026-87855
KrytyczneCVSS 9.8Streszczenie
Wtyczka JTL-Connector dla WooCommerce do wersji 2.4.3 włącznie jest podatna na dowolne przesyłanie plików przez funkcję saveImage(). Wynika to z akceptowania pustego parametru jtlauth jako prawidłowego poświadczenia oraz niewystarczającej walidacji typów plików w handleImagePush(). Umożliwia to nieuwierzytelnionym atakującym przesyłanie plików, które mogą być wykonywalne, co prowadzi do zdalnego wykonania kodu.
Ocena ryzyka
Atakujący może przesłać złośliwy plik wykonywalny na serwer, co może prowadzić do pełnego przejęcia kontroli nad witryną WordPress i serwerem.
Rekomendacja
Zaktualizuj wtyczkę JTL-Connector do najnowszej wersji, która zawiera poprawkę. Jeśli to możliwe, ogranicz dostęp do funkcji przesyłania plików.
Inne podatności w JTL-Connector for WooCommerce
Zobacz wszystkie- CVE-2026-78193Wysokie
Wtyczka JTL-Connector for WooCommerce dla WordPressa w wersjach do 2.4.3 włącznie jest podatna na czasową iniekcję SQL (time-based SQL Injection) poprzez punkt końcowy 'product.push' Identity Endpoint. Z powodu niewystarczającego escapowania parametru dostarczonego przez użytkownika i braku odpowiedniego przygotowania zapytania SQL nieuwierzytelniony atakujący może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co pozwala na wyodrębnienie poufnych informacji z bazy danych. Iniekcja następuje podczas łączenia tożsamości, zanim wykona się ProductController::push(), więc wykorzystanie udaje się nawet jeśli dalsze przetwarzanie produktu odrzuciłoby żądanie.
- CVE-2026-9234Średnie
Wtyczka JTL-Connector dla WooCommerce do wersji 2.4.1 ma lukę w autoryzacji. Brakuje sprawdzania uprawnień i weryfikacji nonce w kilku akcjach administracyjnych. Uwierzytelnieni atakujący z dostępem na poziomie Subskrybenta lub wyższym mogą modyfikować ustawienia wtyczki, pobierać archiwum ZIP plików dziennika i usuwać te pliki.
Oryginalny opis (angielski, źródło NVD)
The JTL-Connector for WooCommerce plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 2.4.3 via the saveImage() function. This is due to the startSession() function accepting an empty jtlauth parameter as a valid credential, combined with insufficient file type validation in handleImagePush(). This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS