CVE-2026-10580

WordPress için Hippoo Mobile App for WooCommerce eklentisinin 1.9.4 sürümü dahil tüm önceki sürümleri, Yönetici Hesabının Ele Geçirilmesine yol açan bir Kimlik Doğrulama Atlatma zafiyetine sahiptir. Bu durum, hem yöneticiler hem de kimliği doğrulanmamış ziyaretçiler için aynı null sentinel değerini döndüren HippooPermissions::get_user_permissions() fonksiyonundaki bir mantık karmaşasından kaynaklanmaktadır; bu değer HippooPermissions::has_role_access() tarafından koşulsuz olarak tam yönetici erişimi şeklinde yorumlanmaktadır. Bu durum, override_extension_permission_callback() fonksiyonunun, HippooControllerWithAuth::re_register_external_routes() tarafından /wc-hippoo/v1/ext/ altında klonlanan her WordPress ve WooCommerce REST rotası için izin geri çağırma işlemi olarak __return_true değerini atamasına neden olurken, block_unauthorized_access() ön dağıtım koruması da aynı nedenle kimliği doğrulanmamış kullanıcıları engellemede başarısız olmaktadır. Bu durum, kimliği doğrulanmamış saldırganların herhangi bir temel REST uç noktasını kimlik bilgileri olmadan çağırmasını mümkün kılmaktadır; en kritik olanı ise, site yöneticisi dahil herhangi bir WordPress kullanıcısının şifresini sıfırlamak ve sitenin tam yönetimsel kontrolünü ele geçirmek için /wc-hippoo/v1/ext/wp/v2/users/<id> adresine {"password":"<yeni_şifre>"} gövdesiyle bir POST isteği göndermektir.