CVE-2026-15349: Błąd autoryzacji w wtyczce ERP dla WooCommerce

Co wiadomo

Wtyczka ERP: Complete HR, Accounting & CRM Suite dla WooCommerce w WordPress ma lukę pozwalającą na obejście autoryzacji w wersjach do 1.17.6 włącznie. Użytkownicy z uprawnieniami subskrybenta i wyższymi mogą tworzyć dowolne lokalizacje firm w bazie danych ERP.

Wpływ biznesowy

Luka umożliwia nieautoryzowanym użytkownikom z podstawowymi uprawnieniami manipulowanie danymi lokalizacji firmy, co może prowadzić do nieprawidłowości w zarządzaniu zasobami i potencjalnych problemów operacyjnych. Może to wpłynąć na integralność danych i zaufanie do systemu ERP, szczególnie w środowiskach korzystających z WooCommerce.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ERP i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do minimum niezbędnego oraz monitorować logi pod kątem nietypowych działań związanych z tworzeniem lokalizacji. Warto również przeprowadzić audyt uprawnień użytkowników i zweryfikować integralność danych w bazie ERP.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference