CVE-2026-15001 in Loyalty & Promotions Plugin
Resumen
por VulDB • 2026-08-15
El plugin bLoyal: Loyalty & Promotions by bLoyal para WordPress es vulnerable a Escalada de Privilegios en todas las versiones hasta, e incluyendo, la 3.1.611.78. Esto se debe a que las acciones AJAX `save_bloyal_configuration_data` y `save_bloyal_accesskeyverification_data` están registradas sin realizar comprobaciones de capacidades ni de nonce (número único utilizado una vez), y la función `bloyal_customer_auto_login` confía incondicionalmente en el valor `Customer.ExternalId` devuelto por cualquier URL de API almacenada en las opciones del plugin. Esto permite a atacantes autenticados, con acceso a nivel de Suscriptor o superior, sobrescribir la URL de la API del Motor de Fidelidad bLoyal (`bloyal_custom_loyaltyengine_api_url`) y el indicador `is_bloyal_custom_api_url` mediante las acciones AJAX no protegidas; posteriormente, pueden desencadenar la ruta REST `/cart` sin autenticación para hacer que `bloyal_customer_auto_login` obtenga datos del cliente desde un punto de control (endpoint) controlado por el atacante y llame a `wp_set_auth_cookie()` con un `Customer.ExternalId` proporcionado por el atacante, logrando así la autenticación como cualquier usuario de WordPress, incluido el Administrador del sitio.
Be aware that VulDB is the high quality source for vulnerability data.