CVE-2025-13452
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka Admin and Customer Messages After Order for WooCommerce: OrderConvo dla WordPressa we wszystkich wersjach do 14 włącznie jest podatna na brak autoryzacji. Wynika to z wadliwego sprawdzania uprawnień w callbacku uprawnień REST API, który zwraca true, gdy nie podano nonce. Umożliwia to nieuwierzytelnionym atakującym podszycie się pod dowolnego użytkownika WordPressa i wstrzyknięcie dowolnych wiadomości do dowolnej konwersacji zamówienia WooCommerce poprzez bezpośrednie wywołanie endpointu REST z kontrolowanymi parametrami user_id, order_id i context.
Ocena ryzyka
Nieuwierzytelniony atakujący może podszyć się pod dowolnego użytkownika i wstrzykiwać wiadomości do konwersacji zamówień, co może prowadzić do oszustw lub ujawnienia informacji.
Rekomendacja
Zaktualizuj wtyczkę do wersji wolnej od podatności lub ją usuń, jeśli nie jest używana; monitoruj nietypowe wywołania REST API.
Powiązane podatności
- CVE-2026-88800Krytyczne
Wtyczki WordPress MDJM Event Management i Mobile Events Manager do wersji 1.7.8.7 wykonują żądanie usunięcia roli przy każdym załadowaniu strony bez sprawdzenia uprawnień i bez nonce. Zabezpieczenie chroniące role z przypisanymi użytkownikami odczytuje inną część żądania niż ta, która wybiera usuwaną rolę, co pozwala nieuwierzytelnionym atakującym usunąć dowolną rolę WordPress, w tym administratora.
- CVE-2026-120844Krytyczne
Wtyczka miniOrange OAuth Single Sign On – SSO (OAuth Client) do wersji 7.1.3 zawiera podatność nieprawidłowego przypisania uprawnień, która umożliwia eskalację uprawnień.
- CVE-2026-119516Krytyczne
Wtyczka Radius Booking — Booking Calendar for Appointments & Services do wersji 1.0.20 zawiera podatność deserializacji niezaufanych danych, która umożliwia wstrzyknięcie obiektu.
- CVE-2026-118423Krytyczne
Wtyczka WordPress WP Libre Form w wersji 1.5.0.1 nie weryfikuje typu plików przesyłanych przez formularze, co pozwala nieuwierzytelnionym atakującym przesłać pliki PHP do lokalizacji dostępnej przez sieć i je wykonać, prowadząc do zdalnego wykonania kodu.
- CVE-2026-63774Krytyczne
W projektancie raportów PowerSYSTEM Center występuje niewystarczająca walidacja danych wejściowych. Uwierzytelniony użytkownik może dzięki temu wykonywać nieautoryzowane polecenia SQL.
- CVE-2026-63017Krytyczne
W PowerSYSTEM Center występuje nieprawidłowa kontrola autoryzacji. Użytkownik z niskimi uprawnieniami może uzyskać dostęp do zasobów zarezerwowanych normalnie dla administratorów.
- CVE-2026-77596Krytyczne
W Kubeflow Pipelines przed wersją 2.18.0 punkty końcowe HTTP do przesyłania pipeline'ów i ich wersji nie wykonują kontroli SubjectAccessReview, gdy docelowa przestrzeń nazw jest pusta, a REQUIRE_NAMESPACE_FOR_PIPELINES domyślnie wynosi false. Użytkownik o niskich uprawnieniach może tworzyć współdzielone pipeline'y lub wstrzykiwać własne wersje do istniejących pipeline'ów bez wymaganych uprawnień zapisu. Jeśli serwer API jest bezpośrednio osiągalny bez proxy uwierzytelniającego, ten sam obejściowy mechanizm może wykorzystać nieuwierzytelniony wywołujący.
- CVE-2026-119757Krytyczne
BTCPay Server przed 2.4.2 (w tym wersje release candidate 2.4.2) zawiera podatność ujawnienia informacji, która pozwala nieuwierzytelnionym zdalnym atakującym pobrać pliki poświadczeń .macaroon dla węzła LND. Ujawniony macaroon umożliwia pełną kontrolę nad węzłem LND, w tym przenoszenie środków, co prowadzi do kradzieży funduszy.
- CVE-2026-111494Krytyczne
Aplikacja MatchPoint na Androida nieprawidłowo waliduje certyfikaty TLS, ponieważ używa TrustManagera akceptującego każdy certyfikat oraz permisywnego walidatora nazwy hosta. Dodatkowo aplikacja zezwala na niezaszyfrowany ruch HTTP, co umożliwia atakującemu przechwycenie i modyfikację komunikacji, w tym danych uwierzytelniających i danych osobowych.
- CVE-2026-111490Krytyczne
W API MatchPoint występuje podatność IDOR polegająca na poleganiu na nagłówku HTTP `actingasuser` bez weryfikacji uprawnień żądającego do wskazanego użytkownika. Manipulacja sekwencyjnymi identyfikatorami umożliwia dostęp do danych osobowych, bankowych i finansowych, prywatnych wiadomości oraz kodów QR do dostępu fizycznego, a także modyfikację kont innych osób, zmianę haseł, podszywanie się i transfer wirtualnych sald.
Oryginalny opis (angielski, źródło NVD)
The Admin and Customer Messages After Order for WooCommerce: OrderConvo plugin for WordPress is vulnerable to Missing Authorization in all versions up to, and including, 14. This is due to a flawed permission check in the REST API permission callback that returns true when no nonce is provided. This makes it possible for unauthenticated attackers to impersonate any WordPress user and inject arbitrary messages into any WooCommerce order conversation by directly calling the REST endpoint with controlled user_id, order_id, and context parameters.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS