Vulnerabilidad en Flexible Refund and Return Order for WooCommerce de wpdesk (CVE-2025-12621)
Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
08/11/2025
Última modificación:
07/10/2026
Descripción
El plugin Flexible Refund and Return Order for WooCommerce para WordPress es vulnerable a la modificación no autorizada de datos debido a una verificación de capacidad mal configurada en la función 'create_refund' en todas las versiones hasta, e incluyendo, la 1.0.42. Esto permite a atacantes autenticados, con acceso de nivel Colaborador y superior, actualizar el estado de las solicitudes de reembolso, incluyendo aprobar y rechazar reembolsos.
Impacto
Puntuación base 3.x
5.30
Gravedad 3.x
MEDIA
Referencias a soluciones, herramientas e información
- https://plugins.trac.wordpress.org/browser/flexible-refund-and-return-order-for-woocommerce/trunk/vendor_prefixed/wpdesk/flexible-refunds-core/src/Integration/Ajax.php#L55
- https://plugins.trac.wordpress.org/changeset?old=3378649%40flexible-refund-and-return-order-for-woocommerce%2Ftags%2F1.0.42&new=3390898%40flexible-refund-and-return-order-for-woocommerce%2Ftags%2F1.0.43
- https://www.wordfence.com/threat-intel/vulnerabilities/id/8498c671-b46e-420c-a482-7c6983596753?source=cve