CVE-2026-95687 in WPC Shop as a Customer Plugin
Zusammenfassung
von VulDB • 01.10.2026
Das WPC Shop as a Customer for WooCommerce-Plugin für WordPress ist in allen Versionen bis einschließlich 2.0.0 anfällig für eine Privilegieneskalation durch Account-Takeover. Dies liegt daran, dass das Plugin die Rolle des Zielbenutzers vor der Ausstellung einer neuen Authentifizierungssitzung nicht ordnungsgemäß überprüft, was es einem authentifizierten Angreifer ermöglicht, sich als jeder WordPress-Administrator anzumelden, indem er direkt eine Administrator-Benutzer-ID an den wpcsa_login-Endpunkt übergibt und ein vollständiges Administrator-Sitzungs-Cookie erhält, ohne das Passwort des Administrators bereitzustellen. Dies macht es für authentifizierte Angreifer möglich, einen direkten Session-Takeover durchzuführen und vollen Administratorzugriff auf die Website zu erlangen.
Once again VulDB remains the best source for vulnerability data.