CVE-2026-93510
ŚrednieCVSS 4.3Streszczenie
Wtyczka WordPress Points and Rewards for WooCommerce w wersji przed 2.10.4 nie weryfikuje deklarowanej kwoty nagrody ani nie ogranicza dostępu do handlera roszczenia Win Wheel. Uwierzytelnieni użytkownicy z rolą Subscriber i wyższą mogą samodzielnie przyznać sobie dowolną, nieograniczoną liczbę punktów lojalnościowych, a przy aktywnej wtyczce portfela — także saldo portfela.
Ocena ryzyka
Każdy zalogowany użytkownik może bez ograniczeń generować punkty lojalnościowe i saldo portfela, co prowadzi do nadużyć finansowych i strat dla organizacji. Problem dotyczy również kont o niskich uprawnieniach, co znacząco zwiększa powierzchnię ataku.
Rekomendacja
Zaktualizuj wtyczkę Points and Rewards for WooCommerce do wersji 2.10.4 lub nowszej. Dodatkowo rozważ audyt przyznanych punktów i sald portfeli w celu wykrycia nadużyć.
Inne podatności w Points and Rewards for WooCommerce
Zobacz wszystkie- CVE-2026-11782Średnie
Wtyczka Points and Rewards for WooCommerce do WordPressa przed wersją 2.10.1 nie posiada kontroli autoryzacji w akcji aktualizacji portfela i punktów, która jest dostępna dla niezalogowanych użytkowników. Nie weryfikuje również, czy żądający jest właścicielem zmienianego konta. Niezalogowani atakujący mogą dowolnie modyfikować lub uszkadzać (w tym ustawiać na ujemne) saldo portfela i punkty lojalnościowe dowolnego użytkownika. Modyfikacja salda portfela wymaga dodatkowo aktywnej wtyczki Wallet System for WooCommerce.
- CVE-2026-10628Średnie
Wtyczka Points and Rewards for WooCommerce dla WordPressa w wersjach do 2.10.0 zawiera podatność polegającą na pominięciu autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą konwertować i wyczerpywać punkty nagród dowolnych użytkowników, eksfiltrować dane do zewnętrznego konta Klaviyo, nadpisywać klucz API Klaviyo oraz blokować/odblokowywać użytkowników w systemie punktowym. Dodatkowo niezalogowani goście mogą uzyskać ważny token nonce i wykorzystać wybraną akcję.
Oryginalny opis (angielski, źródło NVD)
The Points and Rewards for WooCommerce WordPress plugin before 2.10.4 does not validate the claimed reward amount or restrict who can call its Win Wheel claim handler, allowing authenticated users, Subscriber and above, to credit their own account with an arbitrary and unlimited amount of loyalty points and, where a companion wallet Points and Rewards for WooCommerce WordPress plugin before 2.10.4 is active, wallet balance.