CVE-2026-10580

Résumé

Le plugin Hippoo Mobile App for WooCommerce pour WordPress est vulnérable à un contournement de l'authentification conduisant à la prise de contrôle du compte administrateur dans toutes les versions jusqu'à la 1.9.4 incluse. Cela est dû à une confusion logique dans HippooPermissions::get_user_permissions(), qui renvoie la même sentinelle null pour les administrateurs et les visiteurs non authentifiés — une valeur que HippooPermissions::has_role_access() interprète systématiquement comme un accès administrateur complet — ce qui amène override_extension_permission_callback() à assigner __return_true comme rappel de permission pour chaque route REST WordPress et WooCommerce clonée sous /wc-hippoo/v1/ext/ par HippooControllerWithAuth::re_register_external_routes(), tandis que la garde de pré-dispatch block_unauthorized_access() ne parvient pas à bloquer les utilisateurs non authentifiés pour la même raison. Cela permet à des attaquants non authentifiés d'invoquer n'importe quel point de terminaison REST principal sans identifiants — plus critique encore, d'envoyer une requête POST vers /wc-hippoo/v1/ext/wp/v2/users/<id> avec un corps {"password":"<new_password>"} pour réinitialiser le mot de passe de n'importe quel utilisateur WordPress, y compris l'administrateur du site, et d'obtenir un contrôle administratif total du site.

• CVE-2026-10580Exploit

  Exploit PoC pour CVE-2026-10580 - Contournement d'authentification dans Hippoo Mobile App for WooCommerce <= 1.9.4 menant à une prise de contrôle du compte administrateur

• By-Poloss..-..CVE-2026-10580