CVE-2026-111404
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Photo Reviews for WooCommerce (do wersji 1.2.31) zawiera podatność typu race condition wynikającą z niewłaściwej synchronizacji współdzielonych zasobów. Może to pozwolić atakującemu na wykorzystanie warunków wyścigu do nieautoryzowanych działań.
Ocena ryzyka
Podatność może umożliwić atakującemu manipulowanie współdzielonymi zasobami i potencjalnie wpłynąć na integralność danych lub dostępność aplikacji. Organizacje korzystające z tej wtyczki są narażone na wykorzystanie podatności.
Rekomendacja
Zaktualizuj wtyczkę Photo Reviews for WooCommerce do najnowszej wersji, która zawiera poprawkę. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie wtyczki do czasu wdrożenia łatki.
Inne podatności w Photo Reviews for WooCommerce
Zobacz wszystkie- CVE-2026-110251Średnie
Wtyczka Photo Reviews for WooCommerce dla WordPressa jest podatna na nieautoryzowane usuwanie plików z biblioteki mediów w wersjach do 1.2.31 włącznie. Funkcja delete_reviews_image() ufa identyfikatorom załączników dostarczonym przez parametr POST wcpr_image_upload_id, które są przechowywane w metadanych komentarza bez sprawdzenia własności lub uprawnień, co pozwala nieuwierzytelnionemu atakującemu na trwałe usunięcie dowolnego załącznika.
- CVE-2026-100161Wysokie
Wtyczka Photo Reviews for WooCommerce dla WordPressa jest podatna na trwały atak XSS (DOM-based) przez parametr 'wcpr_image_upload_id' w wersjach do 1.2.30 włącznie. Brak odpowiedniego filtrowania i eskejpowania wyjścia pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonują się przy dostępie do strony.
- CVE-2026-100515Wysokie
Podatność polegająca na niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w wtyczce Photo Reviews for WooCommerce (woo-photo-reviews) firmy VillaTheme umożliwia odbity XSS. Problem dotyczy wersji od n/a do 1.2.30.
- CVE-2026-101923Wysokie
Wtyczka Photo Reviews for WooCommerce do WordPressa, w wersjach do 1.2.30 włącznie, jest podatna na arbitralne usuwanie treści. Dzieje się tak, ponieważ wtyczka przechowuje identyfikatory postów kontrolowane przez atakującego w meta komentarza recenzji, bez weryfikacji, czy należą one do zgłaszającego, a funkcja usuwania recenzji bezwarunkowo usuwa wszystkie przechowywane identyfikatory. Pozwala to nieuwierzytelnionym atakującym na trwałe usunięcie dowolnych postów, stron, produktów lub załączników, gdy administrator usunie recenzję atakującego lub gdy cron WordPressa opróżni kosz komentarzy po 30 dniach.
- CVE-2026-100517Wysokie
Wtyczka Photo Reviews for WooCommerce (VillaTheme) do wersji 1.2.30 zawiera podatność obejścia autoryzacji przez klucz kontrolowany przez użytkownika. Pozwala to na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') vulnerability in VillaTheme Photo Reviews for WooCommerce woo-photo-reviews allows Leveraging Race Conditions.This issue affects Photo Reviews for WooCommerce: from n/a through 1.2.31.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS