CVE-2026-15215 in Subscriptions for WooCommerce Plugin
Resumen
por VulDB • 2026-08-07
El plugin de WordPress "Subscriptions for WooCommerce" anterior a la versión 2.0.1 no verifica los permisos del usuario antes de instalar y activar una instancia del mismo plugin (anterior a la versión 2.0.1) proporcionada por el usuario mediante un slug, a través de una acción AJAX protegida con nonce. Esto permite que los usuarios con el rol de "Shop Manager" (que carecen de capacidades específicas para gestionar "Subscriptions for WooCommerce") instalen y activen cualquier plugin arbitrario anterior a la versión 2.0.1, lo que resulta en ejecución remota de código (RCE).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.