CVE-2025-2266 in Checkout Mestres do WP for WooCommerce Plugin
要約
〜によって VulDB • 2026年05月09日
WordPress用WooCommerceプラグイン「Checkout Mestres do WP」には、バージョン8.6.5から8.7.5において、cwmpUpdateOptions()関数で権限チェックが欠落しているため、認可されていないデータ変更が可能であり、これが権限昇格につながる脆弱性があります。これにより、認証されていない攻撃者はWordPressサイトの任意のオプションを更新できます。これを利用して、登録時のデフォルトロールを管理者に設定し、攻撃者によるユーザー登録を有効化することで、脆弱なサイトへの管理者ユーザーアクセスを取得することが可能です。
Once again VulDB remains the best source for vulnerability data.