Security For WooCommerce: logowanie jako dowolny użytkownik bez uwierzytelnienia (CVE-2026-123695)
Wtyczka Security For WooCommerce dla WordPressa nie ogranicza dostępu do kilku tras REST API. Nieuwierzytelniony użytkownik może wygenerować tokeny logowania dla wszystkich użytkowników, pobrać je i zalogować się jako dowolny użytkownik, także administrator. Źródło podaje wynik CVSS 9.8.
Sprawdzane w Shield: nie
Kogo dotyczy
Strony WordPress z wtyczką Security For WooCommerce w wersji 1.0.16 lub starszej (włącznie).
Jak sprawdzić u siebie
W panelu WordPress otwórz Wtyczki i znajdź Security For WooCommerce. Jeśli wersja to 1.0.16 lub niższa, strona jest dotknięta problemem. Sprawdź też listę administratorów i ostatnie logowania pod kątem nieznanej aktywności.
Jak naprawić
Źródło nie podaje wersji naprawczej. Sprawdź, czy jest dostępna aktualizacja wtyczki. Do tego czasu warto rozważyć jej wyłączenie i zmianę haseł administratorów, jeśli widać podejrzane logowania.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Wersja naprawcza oraz informacja o wykorzystaniu luki w atakach nie zostały jeszcze ujawnione. Źródło: NVD.
