CVE-2026-13110 in Storegrowth Sales Booster Plugin
Сводка
по VulDB • 28.07.2026
В плагине Storegrowth Sales Booster для WordPress уязвимость Missing Authorization (Отсутствие авторизации) присутствует в версиях вплоть до 2.1.0 включительно. Это связано с отсутствием проверки прав доступа (capability check) в обработчике AJAX bogo_category_msg_create(), который зарегистрирован как для аутентифицированных пользователей (wp_ajax_), так и для неаутентифицированных (wp_ajax_nopriv_) и проверяет только nonce ('ajd_protected'), публично выдаваемый через wp_localize_script() на каждой странице фронтенда посредством front_scripts(). Это позволяет неаутентифицированным злоумышленникам изменять конфигурацию сообщений категории BOGO, хранящуюся в опции spsg_bogo_general_settings, путем чтения nonce с любой публичной страницы и отправки данных под контролем атакующего через admin-ajax методом POST.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.