CVE-2026-93508

WysokieCVSS 8.1

Opublikowano: 23/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress WC Fields Factory w wersji przed 4.1.11 nie ogranicza prawidłowo dostępu do akcji AJAX zarządzającej polami. Uwierzytelnieni użytkownicy z poziomem Subscriber i wyższym mogą tworzyć, modyfikować i usuwać dowolne metadane wpisów na dowolnym wpisie, w tym produktach WooCommerce, niezależnie od własności, oraz manipulować regułami cenowymi produktu, aby obniżyć jego cenę w koszyku.

Ocena ryzyka

Atakujący z niskimi uprawnieniami może modyfikować dane produktów i obniżać ceny w sklepie WooCommerce, co prowadzi do strat finansowych i naruszenia integralności danych.

Rekomendacja

Zaktualizuj wtyczkę WC Fields Factory do wersji 4.1.11 lub nowszej i zweryfikuj, czy reguły cenowe produktów nie zostały zmodyfikowane.

Inne podatności w WC Fields Factory

CVE-2026-39727Średnie
Wtyczka WC Fields Factory w wersjach do 4.1.12 włącznie zawiera podatność Cross Site Scripting (XSS), która pozwala użytkownikowi z rolą Subscriber na wstrzyknięcie złośliwego skryptu.

Oryginalny opis (angielski, źródło NVD)

The WC Fields Factory WordPress plugin before 4.1.11 does not properly restrict access to its field-management AJAX action, allowing authenticated users with Subscriber-level access and above to create, modify and delete arbitrary post meta on any post, including WooCommerce products, regardless of ownership, and to manipulate stored pricing rules on a product to reduce its checkout price.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS