Уразливість підвищення привілеїв у плагіні Invoice Generator для WordPress (CVE-2026-12415)

Що відомо

Плагін Invoice Generator для WordPress має критичну уразливість підвищення привілеїв через відсутність перевірки прав доступу в AJAX-дії pravel_invoice_edit_account() у версіях до 1.0.0 включно. Зловмисники можуть змінювати електронну пошту будь-якого користувача без автентифікації та ініціювати скидання пароля для отримання доступу до облікових записів.

Бізнес-вплив

Ця уразливість дозволяє неавторизованим зловмисникам отримати контроль над обліковими записами користувачів, включно з адміністраторами, що ставить під загрозу безпеку вебсайту та конфіденційність даних. Власники інфраструктури ризикують компрометацією системи, втратами даних та порушенням роботи сервісів.

Рекомендовані дії адміністратора

Рекомендується негайно перевірити наявність оновлень плагіна Invoice Generator від розробника та встановити їх. Якщо оновлення недоступні, слід обмежити доступ до AJAX-дії pravel_invoice_edit_account(), провести аудит логів на предмет підозрілої активності та посилити моніторинг безпеки. Також варто розглянути тимчасове відключення плагіна до усунення вразливості.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference