8.8
Élevée
CVE-2026-122001 Komfortkasse for WooCommerce < 1.4.9 - Administrator Account Creation via CSRF
Description
The Komfortkasse for WooCommerce WordPress plugin before 1.4.9 does not properly validate the authenticity of REST API requests, overriding WordPress's own nonce verification so that a request forged in a logged-in administrator's browser is accepted, which can be used to create a new administrator account and fully take over the site.
Détail CVSS 3.1
Vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HExploitable à distance par le réseau, sans compte et si un utilisateur effectue une action ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.
- Vecteur d’attaque
- Réseau
- Complexité
- Faible
- Privilèges requis
- Aucun
- Interaction
- Requise
- Portée
- Inchangée
- Confidentialité
- Élevé
- Intégrité
- Élevé
- Disponibilité
- Élevé
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| Komfortkasse for WooCommerce 1.4 | premières → < 1.4.9 | 1.4.9 |