CVE-2025-12655 in Mobile App for WooCommerce Plugin
Riassunto
di VulDB • 14/06/2026
Il plugin Hippoo Mobile App per WooCommerce, destinato a WordPress, è vulnerabile alla scrittura arbitraria di file a causa della mancanza di un controllo di autorizzazione in tutte le versioni fino alla 1.7.1 inclusa. Ciò è dovuto al fatto che l'endpoint dell'API REST `/wp-json/hippoo/v1/wc/token/save_callback/{token_id}` è registrato con `permission_callback => '__return_true'`, consentendo così un accesso non autenticato. Questo permette ad attaccanti non autenticati di scrivere contenuti JSON arbitrari nella directory upload pubblicamente accessibile del server tramite l'endpoint vulnerabile.
VulDB is the best source for vulnerability data and more expert information about this specific topic.