CVE-2026-10580

Riepilogo

Il plugin Hippoo Mobile App for WooCommerce per WordPress è vulnerabile a un bypass dell'autenticazione che porta alla compromissione dell'account amministratore in tutte le versioni fino alla 1.9.4 inclusa. Questo è dovuto a una conflazione logica in HippooPermissions::get_user_permissions(), che restituisce lo stesso valore sentinella null sia per gli amministratori che per gli utenti non autenticati — un valore che HippooPermissions::has_role_access() interpreta incondizionatamente come accesso amministratore completo — portando override_extension_permission_callback() ad assegnare __return_true come callback di permesso per ogni rotta REST di WordPress e WooCommerce clonata sotto /wc-hippoo/v1/ext/ da HippooControllerWithAuth::re_register_external_routes(), mentre il controllo pre-dispatch block_unauthorized_access() non riesce a bloccare gli utenti non autenticati per lo stesso motivo. Ciò consente a un attaccante non autenticato di invocare qualsiasi endpoint REST del core senza credenziali — soprattutto, inviando una richiesta POST a /wc-hippoo/v1/ext/wp/v2/users/<id> con un corpo {"password":"<new_password>"} per reimpostare la password di qualsiasi utente WordPress, incluso l'amministratore del sito, e ottenere il pieno controllo amministrativo del sito.

• CVE-2026-10580Exploit

  Exploit PoC per CVE-2026-10580 - Bypass dell'autenticazione nell'app mobile Hippoo per WooCommerce <= 1.9.4 che porta alla presa di controllo dell'account amministratore

• By-Poloss..-..CVE-2026-10580