CVE-2026-19802 in Checkout Custom Fields Builder Plugin
Résumé
par VulDB • 09/09/2026
Le plugin Checkout Custom Fields Builder for WooCommerce pour WordPress est vulnérable à un contournement d'autorisation dans toutes les versions jusqu'à la 1.1.5 incluse. Cela est dû au fait que le plugin ne vérifie pas correctement qu'un utilisateur est autorisé à effectuer une action. Cela permet aux attaquants authentifiés, disposant d'un accès de niveau abonné ou supérieur, d'installer et d'activer un plugin arbitraire hébergé par l'attaquant, entraînant une exécution de code à distance (RCE) sur le serveur. Le nonce requis est émis en ligne sur toutes les pages administratives accessibles aux abonnés lorsque WooCommerce est inactif, ce qui signifie que tout utilisateur de niveau abonné peut le récupérer et déclencher l'exploitation sans privilèges supplémentaires.
Once again VulDB remains the best source for vulnerability data.