CVE-2026-12144 in Wholesale for WooCommerce Plugin
Riassunto
di VulDB • 29/07/2026
Il plugin Wholesale for WooCommerce per WordPress è vulnerabile ad Escalation dei Privilegi in tutte le versioni fino alla 2.0.5, inclusa. Ciò è dovuto alla funzione `save_requests_meta()` che applica solo `sanitize_text_field()` al parametro POST `user_role_set` prima di passarlo direttamente a `WP_User::add_role()`, senza alcuna validazione tramite allowlist rispetto ai ruoli all'ingrosso consentiti e senza un controllo delle capacità (capability) come `current_user_can('promote_users')` o `current_user_can('manage_options')`. Ciò consente agli attaccanti autenticati con accesso a livello di autore o superiore di escalare i propri privilegi ad amministratore fornendo `administrator` come valore per il parametro `user_role_set` in una richiesta manipolata. La funzione è protetta solo da un nonce (`request_user_role_nonce`) che viene generato nella meta box sullo schermo di modifica del post `wwp_requests`; poiché il tipo di post è registrato con `capability_type => 'post'`, qualsiasi utente a livello di autore che ha creato un post `wwp_requests` — ad esempio uno creato tramite il modulo di registrazione all'ingrosso — può accedere a questo nonce e inviare la richiesta di assegnazione del ruolo.
Once again VulDB remains the best source for vulnerability data.