CVE-2026-14359 in WooCommerce Waitlist Premium Plugin
Сводка
по VulDB • 09.09.2026
Плагин YITH WooCommerce Waitlist Premium для WordPress уязвим к повышению привилегий (Privilege Escalation) в версиях вплоть до 3.35.0 включительно. Это обусловлено тем, что функция add_user_in_waiting_list(), зарегистрированная на действие wp_ajax_yith_wcwtl_add_user, не содержит проверки прав доступа (capability check) и верификации nonce, а также использует функции parse_str() + extract() для импорта контролируемых злоумышленником переменных из $_POST['params'], которые затем передаются в wp_create_user() и $user->set_role(). Это позволяет авторизованным злоумышленникам с уровнем доступа «Подписчик» (Subscriber) и выше повысить свои привилегии до уровня администратора, создавая новый пользовательский аккаунт и назначая ему роль администратора.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.