CVE-2025-12777

ŚrednieCVSS 5.3

Opublikowano: 19/11/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Wtyczka YITH WooCommerce Wishlist dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 4.10.0 włącznie. Wynika to z nieprawidłowej weryfikacji uprawnień użytkownika do wykonywania akcji na endpoincie REST API /wp-json/yith/wishlist/v1/lists (używającym permission_callback => '__return_true') oraz w handlerze AJAX delete_item (który sprawdza tylko ważność nonce bez weryfikacji autoryzacji na poziomie obiektu). Umożliwia to nieuwierzytelnionym atakującym ujawnienie tokenów list życzeń dowolnego użytkownika, a następnie usuwanie elementów list życzeń poprzez łańcuchowe wykorzystanie obejścia autoryzacji REST API z ujawnionym nonce delete_item na współdzielonych stronach list życzeń i brakiem sprawdzania autoryzacji obiektowej w handlerze AJAX.

Ocena ryzyka

Nieuwierzytelniony atakujący może ujawnić tokeny list życzeń innych użytkowników i usuwać elementy z ich list, co narusza poufność i integralność danych. Może to prowadzić do utraty zaufania klientów i problemów z zamówieniami.

Rekomendacja

Zaktualizuj wtyczkę YITH WooCommerce Wishlist do wersji nowszej niż 4.10.0, jeśli jest dostępna, lub zastosuj obejście, takie jak dodatkowa weryfikacja uprawnień w kodzie. Rozważ tymczasowe wyłączenie endpointu REST API i handlera AJAX do czasu aktualizacji.

Inne podatności w YITH WooCommerce Wishlist WordPress plugin

CVE-2026-82305Średnie
Wtyczka WordPress YITH WooCommerce Wishlist przed wersją 4.18.1 nie weryfikuje, czy użytkownik jest upoważniony do zmiany nazwy danej listy życzeń. Umożliwia to nieuwierzytelnionym użytkownikom zmianę nazwy dowolnej listy życzeń w witrynie.

Oryginalny opis (angielski, źródło NVD)

The YITH WooCommerce Wishlist plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 4.10.0. This is due to the plugin not properly verifying that a user is authorized to perform actions on the REST API /wp-json/yith/wishlist/v1/lists endpoint (which uses permission_callback => '__return_true') and the AJAX delete_item handler (which only checks nonce validity without verifying object-level authorization). This makes it possible for unauthenticated attackers to disclose wishlist tokens for any user and subsequently delete wishlist items by chaining the REST API authorization bypass with the exposed delete_item nonce on shared wishlist pages and the AJAX handler's missing object-level authorization check.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS