CVE-2026-9241

WordPress üçün olan FOX – Currency Switcher Professional for WooCommerce plagini 1.4.6 daxil olmaqla bütün versiyalarda İstifadəçi Tərəfindən İdarə Olunan Açar vasitəsilə Autentifikasiyadan Yan Keçmə zəifliyinə malikdir. Bu, `classes/fixed/fixed_user_role.php` faylındakı `get_value()` funksiyasının, rol əsaslı qiymət təyini üçün istifadəçinin rol kontekstini müəyyən edərkən heç bir yoxlama aparmadan hücum edən tərəf tərəfindən idarə olunan `$_REQUEST['wooc_order_user_roles']` parametrini etibarlı saymasından qaynaqlanır və bu, `$user->roles` vasitəsilə autentifikasiya olunmuş istifadəçinin sessiya obyektindən əldə edilən legitim rol məlumatlarının üstünlüyünü təmin edir. Bu, Abunəçi (Subscriber) səviyyəsi və daha yüksək giriş imkanlarına malik autentifikasiya olunmuş hücum edənlərə daha yüksək imtiyazlı rolları — məsələn, topdansatış müştərisi və ya administratoru — təqlid etməyə və onların real rolu üçün əlçatan olmamalı olan endirimli və ya digər məhdudlaşdırılmış qiymətləri əldə etməyə imkan verir. Bu zəiflik yalnız sabit istifadəçi-rolu qiymətlandırma funksiyası aktiv olduqda və ən azı bir məhsul üçün imtiyazlı-rol qiyməti konfiqurasiya edildikdə praktiki təsir göstərir.