CVE-2026-10628

WordPress için Points and Rewards for WooCommerce eklentisi, 2.10.0 sürümü dahil olmak üzere tüm sürümlerde kimlik doğrulama atlatma zafiyetine sahiptir. Bu durum, eklentinin bir kullanıcının belirli bir işlemi gerçekleştirmek için yetkili olup olmadığını düzgün şekilde doğrulamamasından kaynaklanmaktadır. Bu durum; abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, herhangi bir kullanıcının ödül puanlarını cüzdan bakiyesine dönüştürüp tüketmesine, tüm kullanıcıların e-posta adreslerini ve puan bakiyelerini saldırgan kontrollü bir Klaviyo hesabına sızdırmasına, sitenin Klaviyo genel API anahtarını üzerine yazmasına, rastgele kullanıcıları puan sisteminde engellemesine veya engelini kaldırmasına ve kampanya banner ile başlık ayarlarını değiştirmesine olanak tanır. Bu isteklerin kimlik doğrulaması için kullanılan nonce (wps-wpr-verify-nonce), wp_localize_script() aracılığıyla dışa açık her sayfaya enjekte edilmektedir ve wps_wpr_generate_custom_wallet işleyicisi ek olarak wp_ajax_nopriv_ kancasına kaydedilmiştir; bu da kimliği doğrulanmamış ziyaretçilerin de geçerli bir nonce elde edebileceği ve söz konusu spesifik işlemi istismar edebileceği anlamına gelir.