CVE-2026-81799
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Wtyczka Return Refund and Exchange For WooCommerce (WP Swings) do wersji 4.6.4 zawiera podatność polegającą na braku autoryzacji. Nieprawidłowo skonfigurowane poziomy kontroli dostępu mogą zostać wykorzystane przez nieuprawnionego użytkownika.
Ocena ryzyka
Osoba atakująca może wykonać akcje zastrzeżone dla uprawnionych użytkowników, co może prowadzić do nieautoryzowanych zmian w obsłudze zwrotów i wymian w sklepie WooCommerce.
Rekomendacja
Zaktualizuj wtyczkę Return Refund and Exchange For WooCommerce do wersji nowszej niż 4.6.4 i zweryfikuj konfigurację uprawnień w sklepie.
Inne podatności w Return Refund and Exchange For WooCommerce
Zobacz wszystkie- CVE-2026-77695Średnie
Wtyczka Return Refund and Exchange For WooCommerce przed wersją 4.6.4 nieprawidłowo weryfikuje własność zamówień gości w niektórych akcjach AJAX dostępnych dla nieuwierzytelnionych użytkowników. Pozwala to na odczytywanie prywatnych wiadomości zamówienia, wysyłanie wiadomości i załączników w imieniu klienta oraz anulowanie próśb o zwrot na dowolnym zamówieniu gościa.
- CVE-2025-12881Średnie
Wtyczka Return Refund and Exchange For WooCommerce dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 4.5.5 włącznie, poprzez funkcję wps_rma_fetch_order_msgs() z powodu braku walidacji kontrolowanego przez użytkownika klucza. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyższym odczyt wiadomości zamówień innych użytkowników.
- CVE-2025-12086Średnie
Wtyczka Return Refund and Exchange For WooCommerce dla WordPressa do wersji 4.5.5 jest podatna na Insecure Direct Object Reference w punkcie końcowym AJAX 'wps_rma_cancel_return_request' z powodu braku walidacji kontrolowanego przez użytkownika klucza. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej usuwanie żądań zwrotów innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in WP Swings Return Refund and Exchange For WooCommerce woo-refund-and-exchange-lite allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Return Refund and Exchange For WooCommerce: from n/a through 4.6.4.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS