CVE-2026-45444

Podatność sklasyfikowana jako CWE-434 (Unrestricted Upload of File with Dangerous Type) wynika z braku odpowiedniej weryfikacji typu i zawartości przesyłanych plików przez plugin. Atakujący może przesłać plik wykonywalny (np. webshell PHP) na serwer bez konieczności uwierzytelnienia, autoryzacji ani interakcji po stronie użytkownika. Wektor ataku sieciowy (AV:N) przy braku wymaganych uprawnień (PR:N) i braku interakcji użytkownika (UI:N) oznacza, że exploit może być wykonany zdalnie przez każdą osobę mającą dostęp do sieci.

Atakujący może uzyskać możliwość zdalnego wykonania kodu (RCE) na serwerze poprzez uruchomienie przesłanego złośliwego pliku, co może prowadzić do pełnego przejęcia serwera, kradzieży danych, modyfikacji treści witryny oraz lateral movement w infrastrukturze hostingowej.

Należy niezwłocznie zaktualizować plugin 'Gift Cards For WooCommerce Pro' do wersji wyższej niż 4.2.6. Szczegółowe informacje o dostępnych patchach znajdują się w referencjach producenta oraz w bazie Patchstack. Do czasu aktualizacji zaleca się rozważenie tymczasowego wyłączenia pluginu.

Plugin 'Gift Cards For WooCommerce Pro' autorstwa WP Swings w wersjach od początku istnienia do 4.2.6 włącznie, działający na platformie WordPress z WooCommerce.

Podatność została udokumentowana przez serwis Patchstack. Maksymalny wynik CVSS 10.0 wynika z zakresu wpływu obejmującego systemy zewnętrzne (S:C) oraz pełnej kompromitacji poufności, integralności i dostępności (C:H/I:H/A:H).