CVE-2026-54807

WooCommerce w wersji 7.1.0 zawiera podatność na zdalne wykonanie kodu, która umożliwia atakującym wykonywanie dowolnego kodu PHP poprzez wstrzykiwanie poleceń powłoki za pomocą parametru typu produktu.

Wersje WooCommerce do 4.5.1 zawierają podatność na nieautoryzowaną injekcję SQL w polu daty dostawy zamówienia.

Podatność polegająca na nieprawidłowym przypisaniu uprawnień w WooCommerce. Umożliwia eskalację uprawnień. Dotyczy wersji od 9.8.0 do 11.1.2.

Podatność na wyczerpanie zasobów bez limitów lub ograniczania przepustowości w WooCommerce od Automattic umożliwia atak HTTP DoS. Problem dotyczy WooCommerce w wersjach przed 11.1.0.

Wtyczka WooCommerce od Automattic zawiera podatność na ślepą iniekcję SQL (Blind SQL Injection) z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji przed 11.0.

W wersjach WooCommerce do 3.1.4 występuje podatność na nieautoryzowaną złamaną autoryzację w funkcji Upsell Order Bump Offer.

Podatność w WooCommerce w wersjach od 8.1 do 10.4.2 pozwala zalogowanym klientom na dostęp do danych zamówień klientów-gości na stronach o określonej konfiguracji. Problem naprawiono w wersji 10.4.3 oraz w wydaniach punktowych dla wcześniejszych wersji, począwszy od 8.1.3. Wersje 8.0 i starsze nie są dotknięte.

Wtyczka WooCommerce od Automattic do wersji 10.0.2 zawiera podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.

Wtyczka WooCommerce dla WordPressa przed wersją 8.6 nie zapobiega wyciekowi informacji o produktach, do których użytkownicy z rolą przynajmniej współautora nie powinni mieć dostępu, np. produktach prywatnych, szkicach i usuniętych.