CVE-2025-12621
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Flexible Refund and Return Order for WooCommerce dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu błędnie skonfigurowanej kontroli uprawnień w funkcji 'create_refund' we wszystkich wersjach do 1.0.42 włącznie. Uwierzytelnieni atakujący z poziomem dostępu Contributor i wyższym mogą aktualizować status żądań zwrotu, w tym zatwierdzać i odrzucać zwroty.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może zatwierdzać lub odrzucać zwroty, co może prowadzić do strat finansowych i nadużyć w procesie zwrotów.
Rekomendacja
Zaktualizuj wtyczkę Flexible Refund and Return Order for WooCommerce do wersji nowszej niż 1.0.42 lub popraw kontrolę uprawnień w funkcji 'create_refund'.
Inne podatności w Flexible Refund and Return Order for WooCommerce
Zobacz wszystkie- CVE-2026-57402Średnie
Wtyczka Flexible Refund and Return Order for WooCommerce do wersji 1.0.51 zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) poprzez niewłaściwe neutralizowanie danych wejściowych podczas generowania stron. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarkach innych użytkowników.
- CVE-2025-10570Średnie
Wtyczka Flexible Refund and Return Order for WooCommerce dla WordPressa jest podatna na brak autoryzacji we wszystkich wersjach do 1.0.38 włącznie, poprzez funkcję save_refund_request(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyżej składanie wniosków o zwrot dla dowolnych zamówień, których nie posiadają.
Oryginalny opis (angielski, źródło NVD)
The Flexible Refund and Return Order for WooCommerce plugin for WordPress is vulnerable to unauthorized modification of data due to a misconfigured capability check on the 'create_refund' function in all versions up to, and including, 1.0.42. This makes it possible for authenticated attackers, with Contributor-level access and above, to update the status of refund requests, including approving and refusing refunds.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS