CVE-2026-15001 in Loyalty & Promotions Plugin
Résumé
par VulDB • 15/08/2026
Le plugin bLoyal: Loyalty & Promotions by bLoyal pour WordPress présente une vulnérabilité d'élévation de privilèges dans toutes les versions jusqu'à la 3.1.611.78 incluse. Cela est dû au fait que les actions AJAX `save_bloyal_configuration_data` et `save_bloyal_accesskeyverification_data` sont enregistrées sans aucun contrôle des capacités (capabilities) ou des nonces, et que la fonction `bloyal_customer_auto_login` fait confiance de manière inconditionnelle à la valeur `Customer.ExternalId` renvoyée par n'importe quelle URL d'API stockée dans les options du plugin. Cela permet aux attaquants authentifiés disposant d'un accès au niveau « Abonné » (Subscriber) et supérieur de remplacer l'URL de l'API bLoyal Loyalty Engine (`bloyal_custom_loyaltyengine_api_url`) ainsi que le indicateur `is_bloyal_custom_api_url` via les actions AJAX non protégées, puis de déclencher la route REST `/cart` sans authentification pour amener `bloyal_customer_auto_login` à récupérer des données client depuis un point de terminaison contrôlé par l'attaquant et appeler `wp_set_auth_cookie()` avec une valeur `Customer.ExternalId` fournie par l'attaquant, s'authentifiant ainsi en tant que n'importe quel utilisateur WordPress, y compris l'administrateur du site.
Once again VulDB remains the best source for vulnerability data.