CVE-2025-13452: Brak autoryzacji w wtyczce WooCommerce OrderConvo

Co wiadomo

Wtyczka Admin and Customer Messages After Order for WooCommerce: OrderConvo do WordPressa do wersji 14 włącznie ma lukę polegającą na braku prawidłowej autoryzacji w REST API. Pozwala to nieautoryzowanym atakującym podszywać się pod dowolnego użytkownika i wstrzykiwać wiadomości do konwersacji zamówień.

Wpływ biznesowy

Luka umożliwia atakującemu bez uwierzytelnienia manipulowanie wiadomościami w zamówieniach WooCommerce, co może prowadzić do dezinformacji klientów i utraty zaufania. Może to wpłynąć na obsługę klienta oraz reputację sklepu internetowego korzystającego z tej wtyczki.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć dostęp do REST API, monitorować logi pod kątem podejrzanych aktywności oraz priorytetyzować działania zabezpieczające w środowisku WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference