CVE-2026-77695
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Return Refund and Exchange For WooCommerce przed wersją 4.6.4 nieprawidłowo weryfikuje własność zamówień gości w niektórych akcjach AJAX dostępnych dla nieuwierzytelnionych użytkowników. Pozwala to na odczytywanie prywatnych wiadomości zamówienia, wysyłanie wiadomości i załączników w imieniu klienta oraz anulowanie próśb o zwrot na dowolnym zamówieniu gościa.
Ocena ryzyka
Ryzyko obejmuje naruszenie prywatności klientów, możliwość podszywania się pod klienta oraz manipulację procesem zwrotów. Atakujący może również zakłócić działanie sklepu lub wyrządzić szkody finansowe.
Rekomendacja
Zaleca się aktualizację wtyczki Return Refund and Exchange For WooCommerce do wersji 4.6.4 lub nowszej. Należy również przejrzeć logi AJAX i zweryfikować uprawnienia dostępu do zamówień gości.
Inne podatności w Return Refund and Exchange For WooCommerce
Zobacz wszystkie- CVE-2026-81799Wysokie
Wtyczka Return Refund and Exchange For WooCommerce (WP Swings) do wersji 4.6.4 zawiera podatność polegającą na braku autoryzacji. Nieprawidłowo skonfigurowane poziomy kontroli dostępu mogą zostać wykorzystane przez nieuprawnionego użytkownika.
- CVE-2025-12881Średnie
Wtyczka Return Refund and Exchange For WooCommerce dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 4.5.5 włącznie, poprzez funkcję wps_rma_fetch_order_msgs() z powodu braku walidacji kontrolowanego przez użytkownika klucza. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym odczyt wiadomości zamówień innych użytkowników.
- CVE-2025-12086Średnie
Wtyczka Return Refund and Exchange For WooCommerce dla WordPressa do wersji 4.5.5 jest podatna na Insecure Direct Object Reference w punkcie końcowym AJAX 'wps_rma_cancel_return_request' z powodu braku walidacji kontrolowanego przez użytkownika klucza. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej usuwanie żądań zwrotów innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Return Refund and Exchange For WooCommerce WordPress plugin before 4.6.4 does not correctly verify the ownership of guest orders in some of the AJAX actions it exposes to unauthenticated users, allowing them to read private order messages, post messages and attachments in the customer's name, and cancel return requests on any guest order.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS