CVE-2025-11237: Brak odpowiednich kontroli autoryzacji w wtyczce Make Email Customizer for WooCommerce

Co wiadomo

Wtyczka Make Email Customizer for WooCommerce do WordPressa w wersjach do 1.0.6 nie sprawdza poprawnie uprawnień i walidacji opcji w akcjach AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, na modyfikację dowolnych opcji WordPressa.

Wpływ biznesowy

Niewłaściwe zarządzanie uprawnieniami w popularnej wtyczce WooCommerce może prowadzić do nieautoryzowanych zmian w konfiguracji strony, co zagraża stabilności i bezpieczeństwu środowiska CMS. Atakujący z niskimi uprawnieniami mogą wykorzystać tę lukę do eskalacji uprawnień lub wprowadzenia niepożądanych ustawień, co może skutkować utratą integralności danych lub przerwami w działaniu serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Make Email Customizer for WooCommerce i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do wtyczki tylko do zaufanych użytkowników oraz monitorować logi systemowe pod kątem podejrzanych zmian opcji WordPressa. Warto również przeprowadzić audyt uprawnień użytkowników i wzmocnić politykę dostępu.

Źródła

• NVD
• Reference