CVE-2025-12634: Luka w wtyczce Refund Request for WooCommerce umożliwiająca nieautoryzowaną modyfikację statusów zwrotów

Co wiadomo

Wtyczka Refund Request for WooCommerce dla WordPressa do wersji 1.0 włącznie posiada lukę polegającą na braku weryfikacji uprawnień w funkcji 'update_refund_status'. Umożliwia to użytkownikom z poziomem subskrybenta lub wyższym nieautoryzowaną zmianę statusów zwrotów na zatwierdzone lub odrzucone.

Wpływ biznesowy

Atakujący z dostępem na poziomie subskrybenta mogą manipulować statusami zwrotów, co może prowadzić do nadużyć finansowych i zakłóceń w procesach obsługi klienta. Może to wpłynąć na wiarygodność sklepu oraz generować dodatkowe koszty operacyjne związane z wyjaśnianiem nieprawidłowości.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu subskrybenta i wyższego oraz monitorować logi systemowe pod kątem nieautoryzowanych zmian statusów zwrotów. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki zabezpieczające.

Źródła

• NVD
• Reference
• Reference