WooCommerce – Authenticated Privilege Escalation umožňující uživateli s oprávněním Shop Manager získat vyšší oprávnění a potenciálně převzít administraci WordPressu.

V populárním e-commerce pluginu WooCommerce byla identifikována vysoce závažná bezpečnostní zranitelnost typu Privilege Escalation, která umožňuje přihlášenému uživateli s oprávněním Shop Manager získat vyšší oprávnění, než jaká mu byla původně přidělena.

WooCommerce patří mezi nejrozšířenější e-commerce řešení pro WordPress. Zranitelnost proto může představovat významné bezpečnostní riziko zejména pro internetové obchody, ve kterých má k administraci objednávek a produktů přístup více zaměstnanců nebo externích spolupracovníků.

Zranitelnost je klasifikována jako CWE-266 – Incorrect Privilege Assignment.

Mechanismus zneužití

Problém souvisí s nesprávným přidělováním a kontrolou uživatelských oprávnění.

WooCommerce používá vlastní uživatelskou roli Shop Manager, která umožňuje spravovat produkty, objednávky a další části e-shopu bez nutnosti přidělení plných administrátorských oprávnění WordPressu.

Zranitelnost umožňuje uživateli s touto rolí překročit původně stanovený rozsah oprávnění.

Podle bezpečnostního záznamu Patchstack může úspěšné zneužití vést až k získání administrátorských oprávnění a úplné kontrole nad webem.

Podmínky zneužití

Pro úspěšné zneužití musí útočník disponovat účtem s oprávněním Shop Manager nebo vyšším.

Zranitelnost tedy není dostupná nepřihlášeným návštěvníkům ani běžným zákaznickým účtům WooCommerce.

Útok nevyžaduje interakci dalšího uživatele.

Veřejný bezpečnostní záznam zatím neobsahuje podrobný technický rozbor konkrétní zranitelné funkce ani přesný postup zneužití.

Nelze proto bez dalšího ověření určit, které konkrétní operace umožňují překročení oprávnění.

Možné následky

Úspěšné zneužití může umožnit:

• Neoprávněné zvýšení uživatelských oprávnění.
• Potenciální získání administrátorského přístupu k WordPressu.
• Neoprávněnou manipulaci s konfigurací e-shopu.
• Přístup k citlivým zákaznickým a objednávkovým údajům.
• Instalaci nebo úpravu pluginů při získání odpovídajících oprávnění.
• Vytvoření dalších privilegovaných uživatelských účtů.
• Potenciální úplné převzetí WordPress instalace.

Patchstack hodnotí zranitelnost CVSS 7.2/10.

Zveřejněný CVSS vektor potvrzuje vysoký potenciální dopad na důvěrnost, integritu i dostupnost systému.

Patchstack současně upozorňuje na možnost zneužití a poskytuje bezpečnostní pravidlo pro ochranu postižených instalací.

Aktivní zneužívání

K 11. říjnu 2026 nebylo potvrzeno aktivní zneužívání této konkrétní zranitelnosti v reálných útocích.

Rovněž nebylo potvrzeno zveřejnění funkčního veřejného exploitu.

Riziko je významné zejména u e-shopů, které využívají více účtů s oprávněním Shop Manager.

Dostupnost bezpečnostní opravy

Zranitelnost byla opravena ve verzi WooCommerce 11.2.0.

Patchstack potvrzuje, že zranitelné jsou verze 9.8.0 až 11.1.2 včetně.

Opravená verze 11.2.0 již obsahuje potřebné bezpečnostní změny.

Patchstack současně nabízí virtuální bezpečnostní pravidlo, které může pomoci blokovat pokusy o zneužití do provedení aktualizace.

Doporučené kroky

1. Bezodkladně aktualizovat WooCommerce minimálně na verzi 11.2.0, ideálně na nejnovější dostupnou opravenou verzi.
2. U e-shopů, které provozovaly postižené verze, doporučujeme prověřit všechny uživatelské účty s rolí Shop Manager.
3. Zkontrolovat, zda mají oprávnění Shop Manager přidělena pouze osoby, které je skutečně potřebují.
4. Prověřit případné neobvyklé změny uživatelských rolí a oprávnění.
5. Doporučujeme zkontrolovat nově vytvořené administrátorské účty a případné změny jejich přístupových údajů.
6. Prověřit neobvyklé změny konfigurace WooCommerce, zejména nastavení platebních metod, integrací a přístupových oprávnění.
7. Pokud aktualizace není okamžitě možná, doporučujeme dočasně omezit přístup k účtům Shop Manager a využít odpovídající bezpečnostní pravidlo Patchstack.
8. Při podezření na kompromitaci doporučujeme ukončit aktivní relace dotčených uživatelů, prověřit integritu WordPressu a obnovit potenciálně kompromitované přístupové údaje.

Důležité: Samotná aktualizace WooCommerce nemusí odstranit neoprávněné administrátorské účty ani změny konfigurace, které mohly být provedeny před instalací bezpečnostní opravy.

U e-shopů, ve kterých má roli Shop Manager více osob, proto doporučujeme kromě aktualizace provést také kontrolu uživatelských účtů a jejich oprávnění.

Zdroj: https://patchstack.com/database/wordpress/plugin/woocommerce/vulnerability/wordpress-woocommerce-plugin-9-8-0-11-1-2-privilege-escalation-vulnerability