CVE-2025-11742: Nieautoryzowany dostęp do danych w wtyczce WPC Smart Wishlist dla WooCommerce

Co wiadomo

Wtyczka WPC Smart Wishlist dla WooCommerce w WordPressie ma lukę umożliwiającą użytkownikom z poziomem Subskrybenta i wyższym dostęp do list życzeń innych użytkowników poprzez brak odpowiedniej weryfikacji uprawnień w akcji AJAX 'wishlist_quickview'.

Wpływ biznesowy

Luka pozwala na nieautoryzowany dostęp do prywatnych danych użytkowników, co może prowadzić do naruszenia prywatności i utraty zaufania klientów. Administratorzy sklepów opartych na WooCommerce powinni zwrócić uwagę na potencjalne ryzyko wycieku danych użytkowników i możliwe konsekwencje prawne oraz reputacyjne.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WPC Smart Wishlist i jej instalację. W przypadku braku łatki, ograniczenie dostępu do funkcji AJAX 'wishlist_quickview' tylko do zaufanych ról, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie uprawnień użytkowników. Priorytetowe traktowanie tej luki w procesie zarządzania podatnościami.

Źródła

• NVD
• Reference
• Reference