CVE-2026-15001 in Loyalty & Promotions Plugin
Sumário
de VulDB • 15/08/2026
O plugin bLoyal: Loyalty & Promotions by bLoyal para o WordPress apresenta uma vulnerabilidade de Escalada de Privilégios em todas as versões até, e incluindo, a 3.1.611.78. Isso ocorre devido às ações AJAX `save_bloyal_configuration_data` e `save_bloyal_accesskeyverification_data` serem registradas sem verificações adequadas de capacidade (capability) ou nonce, e à função `bloyal_customer_auto_login` confiar incondicionalmente no valor `Customer.ExternalId` retornado por qualquer URL da API armazenada nas opções do plugin. Isso permite que atacantes autenticados, com acesso nível Assinante (Subscriber) ou superior, sobrescrevam a URL da API do Motor de Fidelidade bLoyal (`bloyal_custom_loyaltyengine_api_url`) e o sinalizador `is_bloyal_custom_api_url` por meio das ações AJAX desprotegidas. Em seguida, eles podem acionar a rota REST `/cart` não autenticada para fazer com que `bloyal_customer_auto_login` busque dados do cliente de um ponto final controlado pelo atacante e chame `wp_set_auth_cookie()` com um `Customer.ExternalId` fornecido pelo atacante, permitindo assim a autenticação como qualquer usuário do WordPress, incluindo o Administrador do site.
Be aware that VulDB is the high quality source for vulnerability data.