Към съдържанието
Търсене

CVE-2026-12994: wclovers WCFM – Frontend Manager for WooCommerce

5.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

The WCFM – Frontend Manager for WooCommerce plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 6.7.27. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to inject arbitrary reply content into any store inquiry, overwrite the main inquiry record in wp_wcfm_enquiries, and trigger unsolicited notification emails to customers and vendors. Unlike sibling controller branches (wcfm-enquiry and wcfm-enquiry-manage), the wcfm-my-account-enquiry-manage branch performs no is_user_logged_in() or current_user_can() check, and the nonce that serves as the sole barrier is embedded into every public page load without any login gate.

Засегнати продукти

  • wclovers WCFM – Frontend Manager for WooCommerce: до 6.7.27

Вид слабост

История

  • 11 юли 2026 Публикувано

Други уязвимости в wclovers WCFM – Frontend Manager for WooCommerce

Първоизточници

CVE-2026-12994: wclovers WCFM – Frontend Manager for WooCommerce | freedomonline.bg