平台
wordpress
组件
barcode-scanner-lite-pos-to-manage-products-inventory-and-orders
修复版本
1.11.1
1.12.0
Barcode Scanner (+Mobile App) – Inventory manager, Order fulfillment system, POS (Point of Sale) WordPress 插件存在权限提升漏洞。该漏洞源于插件对用户提供的 Base64 编码用户 ID 在令牌参数中进行信任，导致泄露有效的身份验证令牌，并且在 'setUserMeta' 操作中缺乏元键限制。此漏洞允许未经验证的攻击者提升其权限。
攻击者可以利用此漏洞绕过身份验证机制，并获得管理员或其他高权限用户的权限。攻击者可以访问、修改或删除敏感数据，例如库存信息、订单数据和销售记录。此外，攻击者还可以利用这些权限来执行恶意代码或控制整个 WordPress 站点。由于该插件广泛应用于各种商业场景，因此该漏洞的潜在影响非常大，可能导致严重的经济损失和声誉损害。该漏洞的利用方式类似于其他令牌认证缺陷，攻击者可以通过构造恶意的请求来伪造身份，从而获得非法访问权限。
该漏洞已公开披露，且 CVSS 评分为 CRITICAL，表明其具有极高的风险。目前尚未发现该漏洞被广泛利用，但存在被恶意利用的可能性。建议密切关注安全社区的动态，并及时采取必要的安全措施。该漏洞可能被添加到 CISA KEV 目录中，以便更广泛地通知相关用户。
漏洞利用状态
EPSS
0.14% (34% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即将 Barcode Scanner WordPress 插件升级至 1.12.0 或更高版本。如果升级会导致系统不稳定，可以考虑回滚到之前的版本，但需要密切监控系统安全。此外，可以配置 Web 应用防火墙 (WAF) 或代理服务器，以阻止包含恶意令牌的请求。建议审查插件的配置，确保所有用户权限都已正确设置，并禁用不必要的元键操作。如果无法立即升级，可以尝试限制对 'barcodeScannerConfigs' 操作的访问，并加强对 'setUserMeta' 操作的元键限制。
更新到 1.12.0 版本，或更新的补丁版本
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-4880 是 Barcode Scanner WordPress 插件中发现的一个严重权限提升漏洞，允许未经授权的攻击者提升其权限。
如果您正在使用 Barcode Scanner WordPress 插件版本低于 1.12.0，则可能受到此漏洞的影响。
请立即将 Barcode Scanner WordPress 插件升级至 1.12.0 或更高版本。
目前尚未发现该漏洞被广泛利用，但存在被恶意利用的可能性。
请查阅 Barcode Scanner WordPress 插件的官方网站或 WordPress 插件目录以获取更多信息。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。