WCFM - WooCommerce Frontend Manager <= 6.7.25 - प्रमाणित (विक्रेता+) के लिए असुरक्षित प्रत्यक्ष वस्तु संदर्भ, मनमाना पोस्ट/उत्पाद हेरफेर

CVE-2026-4896 WCFM – Frontend Manager for WooCommerce प्लगइन और Bookings Subscription Listings Compatible प्लगइन को प्रभावित करता है। यह एक असुरक्षित प्रत्यक्ष ऑब्जेक्ट संदर्भ (IDOR) भेद्यता है। विक्रेता-स्तर के एक्सेस वाले प्रमाणित हमलावर उचित प्राधिकरण के बिना ऑर्डर, लेख और उत्पादों जैसे संवेदनशील डेटा को संभावित रूप से हेरफेर या हटा सकते हैं। यह भेद्यता कई AJAX क्रियाओं (जैसे wcfmmodifyorderstatus, deletewcfmarticle, deletewcfm_product और लेख प्रबंधन नियंत्रक) में उपयोगकर्ता द्वारा प्रदान किए गए ऑब्जेक्ट आईडी के उचित सत्यापन की कमी के कारण होती है। यह हमलावर को विक्रेता के रूप में प्रमाणित होने के बाद, उन संसाधनों तक पहुंचने और संशोधित करने की अनुमति देता है जिनके लिए उनके पास अधिकार नहीं है, जिससे WooCommerce स्टोर डेटा की अखंडता और गोपनीयता से समझौता होता है।

1. आरक्षित2026-03-26
2. प्रकाशित2026-04-04
3. संशोधित2026-04-08
4. EPSS अद्यतन2026-04-11

इस भेद्यता के लिए समाधान WCFM – Frontend Manager for WooCommerce प्लगइन को संस्करण 6.7.26 या उच्चतर में अपडेट करना है। इस अपडेट में उपयोगकर्ता द्वारा प्रदान किए गए ऑब्जेक्ट आईडी को ठीक से मान्य करने के लिए आवश्यक फिक्स शामिल हैं, जिससे शोषण का जोखिम कम हो जाता है। WCFM का उपयोग करने वाले WordPress साइट प्रशासकों को संभावित हमलों से अपने WooCommerce स्टोर की सुरक्षा के लिए जल्द से जल्द प्लगइन को अपडेट करने की दृढ़ता से सलाह दी जाती है। इसके अतिरिक्त, उपयोगकर्ता अनुमतियों की समीक्षा करें और सुनिश्चित करें कि 'विक्रेता' भूमिकाओं को उन कार्यों तक सीमित पहुंच है जिनका शोषण किया जा सकता है। संदिग्ध गतिविधि के लिए सर्वर लॉग की निगरानी करने से भी संभावित शोषण प्रयासों का पता लगाने और उनका जवाब देने में मदद मिल सकती है।

सक्रिय इंस्टॉलेशन

20Kलोकप्रिय

प्लगइन रेटिंग