CVE-2026-49065
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W aplikacji mobilnej Hippoo dla WooCommerce w wersjach do 1.9.5 występuje problem z nieautoryzowanym dostępem, który może prowadzić do naruszenia kontroli dostępu.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do wrażliwych danych użytkowników, co może prowadzić do utraty zaufania klientów oraz potencjalnych strat finansowych.
Rekomendacja
Zaleca się aktualizację aplikacji Hippoo do najnowszej wersji, aby usunąć tę podatność oraz przeprowadzenie audytu bezpieczeństwa.
Inne podatności w Hippoo Mobile App for WooCommerce
Zobacz wszystkie- CVE-2026-111601Średnie
Wtyczka Hippoo Mobile App for WooCommerce dla WordPressa w wersjach do 1.12.0 włącznie jest podatna na odbity cross-site scripting (XSS) poprzez parametr 'token_id' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, jeśli uda się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.
- CVE-2026-108483Wysokie
Wtyczka Hippoo Mobile App for WooCommerce (hippoo) zawiera podatność typu Reflected Cross-site Scripting (XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność występuje w wersjach do 1.12.0 włącznie.
- CVE-2025-12655Średnie
Wtyczka Hippoo Mobile App for WooCommerce dla WordPressa do wersji 1.7.1 jest podatna na arbitralny zapis plików z powodu braku autoryzacji. Punkt końcowy REST API `/wp-json/hippoo/v1/wc/token/save_callback/{token_id}` jest zarejestrowany z `permission_callback => '__return_true'`, co pozwala na nieautoryzowany dostęp. Niezautentykowani atakujący mogą zapisywać dowolną treść JSON do publicznie dostępnego katalogu upload na serwerze.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Broken Access Control in Hippoo Mobile App for WooCommerce <= 1.9.5 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS