CVE-2026-10580

Resumen

El plugin Hippoo Mobile App for WooCommerce para WordPress es vulnerable a un bypass de autenticación que conduce a la toma de control de la cuenta de administrador en todas las versiones hasta la 1.9.4 incluida. Esto se debe a una confusión lógica en HippooPermissions::get_user_permissions(), que devuelve el mismo valor centinela nulo tanto para administradores como para visitantes no autenticados — un valor que HippooPermissions::has_role_access() interpreta incondicionalmente como acceso total de administrador — lo que provoca que override_extension_permission_callback() asigne __return_true como callback de permisos para cada ruta REST de WordPress y WooCommerce clonada bajo /wc-hippoo/v1/ext/ por HippooControllerWithAuth::re_register_external_routes(), mientras que el control de pre-despacho block_unauthorized_access() no logra bloquear a los usuarios no autenticados por la misma razón. Esto permite que atacantes no autenticados invoquen cualquier endpoint REST del núcleo sin credenciales — lo más crítico, enviar una solicitud POST a /wc-hippoo/v1/ext/wp/v2/users/<id> con un cuerpo {"password":"<new_password>"} para restablecer la contraseña de cualquier usuario de WordPress, incluido el administrador del sitio, y obtener el control administrativo total del sitio.

• CVE-2026-10580Exploit

  Exploit PoC para CVE-2026-10580 - Bypass de autenticación en la aplicación móvil Hippoo para WooCommerce <= 1.9.4 que conduce a la toma de control de la cuenta de administrador

• By-Poloss..-..CVE-2026-10580