CVE-2026-87856
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Subscriptions for WooCommerce przed wersją 2.1.1 egzekwuje ograniczenia dostępu do treści członkowskich tylko na standardowych widokach stron front-endu. Nieuwierzytelnieni użytkownicy mogą odczytać pełną treść zastrzeżonych wpisów i stron innymi ścieżkami, które renderują te same treści.
Ocena ryzyka
Treści przeznaczone tylko dla członków mogą wyciec do nieuprawnionych osób, co narusza model subskrypcji i może zaszkodzić przychodom.
Rekomendacja
Zaktualizuj wtyczkę Subscriptions for WooCommerce do wersji 2.1.1 lub nowszej.
Inne podatności w Subscriptions for WooCommerce WordPress plugin
Zobacz wszystkie- CVE-2026-15215Wysokie
Wtyczka Subscriptions for WooCommerce dla WordPressa przed wersją 2.0.1 nie weryfikuje uprawnień użytkownika przed instalacją i aktywacją wtyczki z podanego przez użytkownika slug przez akcję AJAX chronioną nonce, co pozwala użytkownikom z rolą Shop Manager (którym brakuje uprawnień do zarządzania tą wtyczką) na instalację i aktywację dowolnych wtyczek, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-15214Średnie
Wtyczka Subscriptions for WooCommerce dla WordPressa przed wersją 2.0.1 nie weryfikuje, czy żądający jest właścicielem subskrypcji przed wyświetleniem jej szczegółów, co pozwala każdemu uwierzytelnionemu klientowi na odczytanie informacji o subskrypcji innego klienta (subskrybowany produkt, status i daty) poprzez podanie jej ID.
Oryginalny opis (angielski, źródło NVD)
The Subscriptions for WooCommerce WordPress plugin before 2.1.1 only enforces its membership content restrictions on standard front-end page views, allowing unauthenticated users to read the full contents of restricted posts and pages through other routes that render the same content.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS