CVE-2026-1937: Luka w YayMail WooCommerce Email Customizer umożliwiająca eskalację uprawnień

Co wiadomo

Wtyczka YayMail – WooCommerce Email Customizer dla WordPressa do wersji 4.3.2 zawiera lukę pozwalającą na nieautoryzowaną modyfikację danych przez brak odpowiedniej weryfikacji uprawnień w akcji AJAX „yaymail_import_state”. Atakujący z uprawnieniami Shop Managera mogą zmienić domyślną rolę rejestracji na administratora i włączyć rejestrację użytkowników, uzyskując dostęp administracyjny.

Wpływ biznesowy

Luka umożliwia osobom z dostępem na poziomie Shop Managera eskalację uprawnień do administratora, co może prowadzić do pełnej kontroli nad witryną WordPress. Może to skutkować nieautoryzowanymi zmianami w konfiguracji, instalacją złośliwego oprogramowania lub utratą integralności danych. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako poważne zagrożenie dla bezpieczeństwa swoich sklepów internetowych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki YayMail i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do kont z uprawnieniami Shop Managera, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji rejestracji użytkowników. Warto również przeprowadzić audyt ról i uprawnień użytkowników w WordPressie.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference