CVE-2026-104745
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Weryfikacja adresu e-mail klienta dla wtyczki WooCommerce dla WordPress jest podatna na eskalację uprawnień poprzez parametr `alg_wc_ev_verify_email` w wersjach do 3.3.0 włącznie. Luka istnieje, ponieważ `alg_wc_ev_generate_user_code()` generuje sekret aktywacji dla każdego użytkownika przy użyciu `wp_rand(100)`, gdy „Metoda kodowania” wtyczki jest ustawiona na „hashids”, tworząc tylko ~101 możliwych wartości (~7 bitów entropii); powstały token jest odwracalnym kodowaniem Hashids bez kryptograficznego adresu MAC, a nieuwierzytelniona procedura obsługi `verify()` — podłączona do `init` w `PHP_INT_MAX` bez sprawdzania jednorazowego i bez ograniczenia szybkości — akceptuje kontrolowany przez atakującego parametr GET `?alg_wc_ev_verify_email=` i działa na nim bezpośrednio. Dzięki temu nieuwierzytelnieni atakujący mogą uzyskać uwierzytelnienie jako dowolne niezweryfikowane konto WordPress, w tym konta na poziomie administratora, poprzez brutalne wymuszanie trywialnie małej przestrzeni kodu aktywacyjnego za pomocą sfałszowanego weryfikacyjnego adresu URL. Eksploatacja wymaga zmiany ustawienia „Metoda kodowania” na „hashids” (inne niż domyślne), aby osoba atakująca odzyskała sól Hashids lub użyła metody brute-force (domyślnie jest to wartość „md5(time())” ustawiona przy pierwszej inicjalizacji) oraz aby adres e-mail konta docelowego pozostał niezweryfikowany.
>_ Słabości (CWE)
>_ Referencje
- https://plugins.trac.wordpress.org/browser/emails-verification-for-woocommerce/tags/3.3.0/includes/alg-wc-ev-functions.php#L331
- https://plugins.trac.wordpress.org/browser/emails-verification-for-woocommerce/tags/3.3.0/includes/class-alg-wc-ev-core.php#L1258
- https://plugins.trac.wordpress.org/browser/emails-verification-for-woocommerce/tags/3.3.0/includes/class-alg-wc-ev-core.php#L498
- https://plugins.trac.wordpress.org/browser/emails-verification-for-woocommerce/tags/3.3.0/includes/class-alg-wc-ev-core.php#L784
- https://plugins.trac.wordpress.org/changeset?reponame=&old=3744623%40emails-verification-for-woocommerce&new=3744623%40emails-verification-for-woocommerce
- https://www.wordfence.com/threat-intel/vulnerabilities/id/6df7b3ed-a1e3-4df9-828e-95530661e27a?source=cve
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org