CVE-2026-82305

ŚrednieCVSS 5.3

Opublikowano: 11/09/2026(UTC)Zaktualizowano: 11/09/2026(UTC)Przetłumaczono: 11/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress YITH WooCommerce Wishlist przed wersją 4.18.1 nie weryfikuje, czy użytkownik jest upoważniony do zmiany nazwy danej listy życzeń. Umożliwia to nieuwierzytelnionym użytkownikom zmianę nazwy dowolnej listy życzeń w witrynie.

Ocena ryzyka

Nieuwierzytelniony atakujący może modyfikować nazwy list życzeń wszystkich użytkowników, co narusza integralność danych i może być wykorzystane do działań phishingowych lub dezinformacji. Podważa to zaufanie do funkcji list życzeń sklepu.

Rekomendacja

Zaktualizuj wtyczkę YITH WooCommerce Wishlist do wersji 4.18.1 lub nowszej. Do czasu aktualizacji rozważ wyłączenie funkcji zmiany nazwy list życzeń.

Inne podatności w YITH WooCommerce Wishlist WordPress plugin

CVE-2025-12777Średnie
Wtyczka YITH WooCommerce Wishlist dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 4.10.0 włącznie. Wynika to z nieprawidłowej weryfikacji uprawnień użytkownika do wykonywania akcji na endpoincie REST API /wp-json/yith/wishlist/v1/lists (używającym permission_callback => '__return_true') oraz w handlerze AJAX delete_item (który sprawdza tylko ważność nonce bez weryfikacji autoryzacji na poziomie obiektu). Umożliwia to nieuwierzytelnionym atakującym ujawnienie tokenów list życzeń dowolnego użytkownika, a następnie usuwanie elementów list życzeń poprzez łańcuchowe wykorzystanie obejścia autoryzacji REST API z ujawnionym nonce delete_item na współdzielonych stronach list życzeń i brakiem sprawdzania autoryzacji obiektowej w handlerze AJAX.

Oryginalny opis (angielski, źródło NVD)

The YITH WooCommerce Wishlist WordPress plugin before 4.18.1 does not verify that a user is authorised to rename a given wishlist, allowing unauthenticated users to rename any wishlist on the site.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS