Podatności vitepos WordPress plugin
3 znanych podatności CVE w vitepos WordPress plugin, przetłumaczonych i ocenionych.
- CVE-2026-14238Średnie
Wtyczka vitepos dla WordPressa przed wersją 3.6.0 nie sanityzuje ani nie parametryzuje identyfikatora pobieranego z treści żądania REST przed użyciem go w zapytaniu do bazy danych w jednym z endpointów raportów, co pozwala użytkownikom z dostępem na poziomie administratora na wykonanie wstrzyknięcia SQL.
- CVE-2026-14237Wysokie
Wtyczki vitepos dla WordPressa przed wersją 3.6.0 oraz Vitepos przed wersją 3.5.0 nie przeprowadzają kontroli autoryzacji per cel w swoim API resetowania hasła punktu sprzedaży i domyślnie przyznają niestandardowej roli Menedżera Outletu zbyt szerokie uprawnienia do resetowania haseł, co pozwala Menedżerowi Outletu zresetować hasło dowolnego użytkownika, w tym administratora, i przejąć konto.
- CVE-2026-8157Wysokie
Wtyczka Vitepos dla WordPressa w wersjach przed 3.4.2 nie ogranicza poprawnie ról, które mogą być przypisywane podczas tworzenia nowych użytkowników za pomocą jednego z punktów końcowych REST API. Umożliwia to uwierzytelnionym użytkownikom z niestandardową rolą wtyczki Vitepos podniesienie uprawnień do administratora.