CVE-2026-7753
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Wtyczka Cost Calculator Builder dla WordPressa do wersji 3.6.17 włącznie jest podatna na nieautoryzowany dostęp do wrażliwych danych z powodu braku sprawdzenia uprawnień w akcji AJAX `cost-calculator-custom-export-run`. Obsługa weryfikuje tylko nonce, które jest dostępne na każdej stronie wp-admin, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta na eksport pełnej konfiguracji kalkulatorów, w tym kluczy tajnych Stripe, PayPal, Razorpay, webhook i reCAPTCHA.
Ocena ryzyka
Ujawnienie tajnych kluczy płatności i innych wrażliwych danych może prowadzić do kradzieży środków, naruszenia integralności systemu i kompromitacji kont użytkowników.
Rekomendacja
Zaktualizuj wtyczkę Cost Calculator Builder do najnowszej wersji, która zawiera poprawkę. Dodatkowo ogranicz dostęp do stron wp-admin dla użytkowników o niskich uprawnieniach.
Inne podatności w Cost Calculator Builder
Zobacz wszystkie- CVE-2026-97307Wysokie
Wtyczka Cost Calculator Builder do wersji 4.0.17 zawiera podatność polegającą na umieszczaniu wrażliwych informacji w wysyłanych danych. Umożliwia to odzyskanie osadzonych danych wrażliwych.
- CVE-2026-10865Średnie
Wtyczka Cost Calculator Builder dla WordPressa do wersji 4.0.11 włącznie ujawnia wrażliwe dane uwierzytelniające do bramek płatności (Stripe, Razorpay, PayPal) w kodzie źródłowym strony. Niezautoryzowany atakujący może wyodrębnić te dane, gdy opcja 'użyj we wszystkich kalkulatorach' jest włączona dla co najmniej jednej bramki płatności.
- CVE-2025-14755Średnie
Wtyczka Cost Calculator Builder dla WordPress (do wersji 4.0.1 włącznie) w połączeniu z wersją PRO jest podatna na nieautoryzowaną manipulację ceną i niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Atakujący bez logowania może dodać produkty WooCommerce do koszyka z dowolnie ustawioną ceną.
- CVE-2025-62049Średnie
Wtyczka Cost Calculator Builder (Stylemix) do wersji 3.5.32 włącznie ma podatność na brak autoryzacji (Missing Authorization). Oznacza to, że nieautoryzowani użytkownicy mogą uzyskać dostęp do funkcji, które powinny być chronione.
Oryginalny opis (angielski, źródło NVD)
The Cost Calculator Builder plugin for WordPress is vulnerable to unauthorized access of sensitive data due to a missing capability check on the `cost-calculator-custom-export-run` AJAX action (handler `CCBExportImport::export_calculators()`) in all versions up to, and including, 3.6.17. The handler only verifies a nonce, but the corresponding `ccb_export_nonce` is broadcast on every wp-admin page (including pages reachable to Subscribers, such as `/wp-admin/profile.php`) by the `ccb_add_admin_nonces` callback hooked to `admin_head`. This makes it possible for authenticated attackers, with Subscriber-level access and above, to export every calculator's full configuration — including stored Stripe secret keys, PayPal client secrets, Razorpay secret keys, webhook secret keys, and reCAPTCHA secret keys.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS