CVE-2026-92435
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Mailchimp for WooCommerce dla WordPressa przed wersją 6.1.1 nie weryfikuje, czy żądający użytkownik ma wymagane uprawnienia w callbacku uprawnień dla kilku tras REST API. Pozwala to nieuwierzytelnionym użytkownikom na dostęp do endpointów przeznaczonych dla administratorów i wywołanie trwałej zmiany stanu.
Ocena ryzyka
Nieautoryzowani użytkownicy mogą modyfikować ustawienia wtyczki lub dane, co może prowadzić do naruszenia integralności sklepu i potencjalnie do dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę Mailchimp for WooCommerce do wersji 6.1.1 lub nowszej. Dodatkowo sprawdź, czy wszystkie trasy REST API mają prawidłowe sprawdzanie uprawnień.
Inne podatności w Mailchimp for WooCommerce
Zobacz wszystkie- CVE-2026-92436Niskie ryzyko· EPSS 6%
Wtyczka Mailchimp for WooCommerce przed wersją 6.3 nie wymaga uwierzytelnienia ani weryfikacji własności przy wczytywaniu zapisanego koszyka na podstawie identyfikatora pochodzącego z adresu e-mail klienta. Nieuwierzytelniony atakujący znający adres e-mail klienta może potwierdzić, że klient robi zakupy w sklepie, oraz odczytać zawartość jego zapisanego koszyka.
- CVE-2026-73346Wysokie
Podatność na wstrzyknięcie SQL z uprawnieniami administratora w MailChimp For WooCommerce w wersjach starszych niż 6.2.
Oryginalny opis (angielski, źródło NVD)
The Mailchimp for WooCommerce WordPress plugin before 6.1.1 does not verify that the requesting user holds the required capability in the permission callback for several of its REST API routes, allowing unauthenticated users to reach administrator-oriented endpoints and trigger a persistent state change.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS