CVE-2026-14182
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka Customer Email Verification for WooCommerce dla WordPressa przed wersją 3.2.6 nie poprawnie weryfikuje kodu aktywacyjnego weryfikacji e-mail, opierając się na luźnym porównaniu, które atakujący może spełnić za pomocą spreparowanego typu wartości. Umożliwia to nieuwierzytelnionym użytkownikom weryfikację i przejęcie konta dowolnego zarejestrowanego użytkownika, który nie potwierdził jeszcze swojego adresu e-mail.
Ocena ryzyka
Atakujący może przejąć konta użytkowników, którzy nie potwierdzili adresu e-mail, co może prowadzić do kradzieży danych, oszustw lub nieautoryzowanych działań w ich imieniu.
Rekomendacja
Zaktualizuj wtyczkę Customer Email Verification for WooCommerce do wersji 3.2.6 lub nowszej, która zawiera poprawkę. Rozważ wymuszenie weryfikacji e-maila dla wszystkich kont.
Inne podatności w Customer Email Verification for WooCommerce
Zobacz wszystkie- CVE-2026-109236Średnie
Wtyczka Customer Email Verification for WooCommerce w wersjach do 2.8.2 włącznie jest podatna na obejście uwierzytelniania przez przewidywalny token weryfikacji e-mail. Funkcja authenticate_user_by_email_link() nie sprawdza uprawnień ani nonce, a token jest generowany jako md5(email . time()), co pozwala nieuwierzytelnionemu atakującemu zalogować się jako nowo utworzony klient lub oznaczyć konto jako zweryfikowane.
- CVE-2026-104745Wysokie
Wtyczka Customer Email Verification for WooCommerce (wersje do 3.3.0) jest podatna na eskalację uprawnień poprzez parametr 'alg_wc_ev_verify_email'. Kod aktywacyjny jest generowany za pomocą wp_rand(100), co daje tylko ~101 możliwych wartości, a handler verify() nie sprawdza nonce i nie ogranicza liczby prób.
Oryginalny opis (angielski, źródło NVD)
The Customer Email Verification for WooCommerce WordPress plugin before 3.2.6 does not correctly validate the email-verification activation code, relying on a loose comparison that an attacker can satisfy with a crafted value type, allowing unauthenticated users to verify and take over the account of any registered user who has not yet confirmed their email address.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS