CVE-2026-4945
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka Otter Blocks dla WordPressa, we wszystkich wersjach do 3.1.7 włącznie, jest podatna na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) w funkcji 'watch_checkout' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym zapłatę za produkt o niższej cenie, podczas gdy uzyskują uprawnienia do produktu premium, manipulując parametrem product_id niezależnie od price_id w adresie URL płatności Stripe.
Ocena ryzyka
Ryzyko strat finansowych i nieautoryzowanego dostępu do funkcji premium w sklepach internetowych używających tej wtyczki.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Otter Blocks do wersji nowszej niż 3.1.7, jeśli dostępna, oraz wdrożenie dodatkowej walidacji po stronie serwera dla parametrów płatności.
Inne podatności w Otter Blocks
Zobacz wszystkie- CVE-2026-109933Średnie
Wtyczka WordPress Otter Blocks w wersji przed 3.2.8 nieprawidłowo oczyszcza i escapuje wartości stylów bloków dostarczane przez użytkownika przed zapisaniem ich do wbudowanego arkusza stylów. Umożliwia to użytkownikom z uprawnieniami contributor i wyższymi wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy dowolny odwiedzający, w tym administratorzy, wyświetli dotknięty wpis.
- CVE-2026-102002Niskie
Wtyczka Otter Blocks dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 3.2.6 włącznie przez parametr 'otter_form_widget_filter'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wyodrębnienie adresów e-mail pięciu ostatnich osób przesyłających formularze, dat ich przesłania oraz całkowitej liczby przesłanych formularzy na stronie.
Oryginalny opis (angielski, źródło NVD)
The Otter Blocks – Gutenberg Blocks, Page Builder for Gutenberg Editor & FSE plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 3.1.7 via the 'watch_checkout' function due to missing validation on a user controlled key. This makes it possible for unauthenticated attackers to pay for a lower-cost product while obtaining entitlement for a premium product by manipulating the product_id parameter independently of the price_id parameter in the Stripe checkout URL.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS