CVE-2026-120574
WysokieCVSS 8.1Streszczenie
Wtyczka SureCart dla WordPressa jest podatna na nieuwierzytelnione przejęcie konta we wszystkich wersjach do 4.9.5 włącznie. Trasa REST logowania jednorazowym kodem (VerificationCodeController::verify()) pozwala atakującemu na brute-force 6-cyfrowego kodu i uzyskanie sesji jako dowolny użytkownik, w tym administrator.
Ocena ryzyka
Nieuwierzytelniony atakujący może przejąć pełną kontrolę nad kontem administratora, co prowadzi do całkowitego przejęcia witryny. Brak limitów prób i blokad ułatwia atak.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 4.9.5. Do czasu aktualizacji rozważ wyłączenie logowania jednorazowym kodem lub wdrożenie zewnętrznych mechanizmów ograniczających próby logowania.
Inne podatności w SureCart
Zobacz wszystkie- CVE-2026-112840Średnie
Wtyczka WordPress SureCart w wersjach do 4.9.5 zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Może to pozwolić na wstrzyknięcie złośliwego skryptu, który zostanie zapisany i wykonany u innych użytkowników.
- CVE-2026-97245Wysokie
Wtyczka SureCart w wersjach do 4.7.2 włącznie zawiera podatność typu Privilege Escalation, którą może wykorzystać użytkownik z uprawnieniami Shop Worker.
- CVE-2026-112241Krytyczne
Podatność typu obejście uwierzytelniania przez podszywanie się (Authentication Bypass by Spoofing) w wtyczce SureCart firmy Brainstorm Force, w wersjach do 4.9.5 włącznie. Umożliwia nadużycie uwierzytelniania.
- CVE-2026-9065Krytyczne
Wtyczka SureCart w wersji przed 4.2.1 jest podatna na atak SQL Injection z autoryzacją. Podatność występuje w endpoint REST API '/surecart/v1/integrations/{id}' poprzez parametry 'model_name', 'model_id', 'integration_id', 'provider'. Błąd wynika z ominięcia mechanizmu eskejpowania w konstruktorze zapytań 'wp-query-builder' - wartości zawierające kropkę ('.') lub prefiks tabel WordPress ('wp_') nie są odpowiednio sanityzowane.
- CVE-2026-107653Wysokie
Wtyczka SureCart dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'comment' w wersjach do 4.9.4 włącznie, z powodu niewystarczającej sanityzacji i escapowania. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Skuteczne wykonanie wymaga, aby wstrzyknięty komentarz był widoczny na stronie ładującej pakiet web-component SureCart (np. strona z blokiem Buy Button) oraz aby komentarz był automatycznie zatwierdzony lub zatwierdzony przez moderatora.
- CVE-2026-106599Wysokie
Wtyczka SureCart od Brainstorm Force do wersji 4.9.3 zawiera podatność na deserializację niezaufanych danych, która umożliwia wstrzyknięcie obiektów (Object Injection).
- CVE-2026-105874Wysokie
Wtyczka SureCart od Brainstorm Force do wersji 4.9.3 zawiera podatność na Reflected Cross-site Scripting (XSS) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania strony internetowej.
- CVE-2026-109697Średnie
W wtyczce SureCart od Brainstorm Force występuje podatność Cross-site Scripting (Stored XSS) wynikająca z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Problem dotyczy wersji od n/a do 4.9.4.
- CVE-2026-75793Średnie
Wtyczka SureCart dla WordPressa przed wersją 4.7.0 nie konsultuje ustawienia rejestracji użytkowników w witrynie przed tworzeniem kont WordPress, co pozwala nieuwierzytelnionym użytkownikom na utworzenie konta i otrzymanie zalogowanej sesji nawet wtedy, gdy rejestracja jest wyłączona.
- CVE-2026-32548Średnie
Podatność Broken Access Control w wtyczce SureCart w wersjach do 4.6.2 pozwala nieuwierzytelnionemu atakującemu na ominięcie kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The SureCart plugin for WordPress is vulnerable to unauthenticated account takeover in all versions up to, and including, 4.9.5. The passwordless one-time-code login REST route (VerificationCodeController::verify(), whose permission callback returns true) resolves an attacker-supplied login to any WordPress user, verifies a 6-digit code, and on success calls $user->login() → wp_set_auth_cookie() for a user of any role. In the affected versions this path has no per-account attempt counter, no persistent email/IP lockout or rate limit (the upstream CDN throttle is bypassable via IP rotation), and no restriction preventing high-privilege accounts from being logged in through it. An unauthenticated attacker can trigger a code for any user (including an administrator) via the companion unauthenticated endpoint and brute-force the 6-digit code to obtain an authenticated session as that user, resulting in a full administrator account takeover.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS