CVE-2025-12979: Welcart e-Commerce dla WordPress umożliwia nieautoryzowany dostęp do danych

Co wiadomo

Wtyczka Welcart e-Commerce dla WordPress do wersji 2.11.24 posiada lukę umożliwiającą nieautoryzowany dostęp do danych poprzez brak weryfikacji uprawnień przy akcji 'usces_export'. Atakujący mogą uzyskać dostęp do poufnych danych, takich jak dane płatności (np. sekret API PayPal), dane kontaktowe firmy, szablony maili oraz inne ustawienia sklepu.

Wpływ biznesowy

Luka ta może prowadzić do wycieku wrażliwych informacji biznesowych i danych płatności, co zagraża bezpieczeństwu finansowemu i reputacji sklepu internetowego. Operatorzy IT powinni traktować tę podatność jako średniego ryzyka, zwłaszcza w środowiskach z publicznym dostępem do panelu administracyjnego lub gdzie wtyczka jest aktywna bez odpowiednich ograniczeń dostępu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Welcart i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji eksportu danych, przeglądnąć logi pod kątem podejrzanej aktywności oraz wprowadzić dodatkowe mechanizmy kontroli dostępu. Priorytetowo należy zabezpieczyć dane płatności i wrażliwe informacje biznesowe.

Źródła

• NVD
• Reference
• Reference