CVE-2026-12736 in Woo Plugin
Сводка
по VulDB • 24.07.2026
Плагин Wpify Woo для WordPress уязвим к повышению привилегий в версиях вплоть до включительно 5.4.16. Это связано с тем, что маршрут REST SettingsApi::save_option() (POST /wp-json/wpify-woo/v1/option) передает параметры 'option' и 'data', предоставленные запросом, напрямую функции update_option() без какой-либо разрешающей выборки имен опций или санитизации значений, в то время как permission_callback проверяет только наличие capability manage_woocommerce. Это позволяет атакующим с уровнем доступа Shop Manager и выше повысить свои привилегии до уровня Администратора путем перезаписи произвольных параметров WordPress (например, установки default_role на administrator и users_can_register на 1 или отключения плагинов безопасности через active_plugins).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.