CVE-2025-12087 - Wishlist and Save for later for Woocommerce <= 1.1.22 - 经过认证的不安全直接对象引用导致愿望单项删除
概述
漏洞描述
WordPress的Wishlist and Save for later for Woocommerce插件在所有版本（包括1.1.22及以下版本）中，通过’awwlm_remove_added_wishlist_page’ AJAX操作存在不安全直接对象引用漏洞，原因是缺少对用户控制键的验证。这使得经过认证的攻击者（具有订阅者级别及以上权限）能够删除其他用户愿望单中的项目。
漏洞时间线
发布日期：2025年11月12日上午5:15
最后修改：2025年11月12日上午5:15
远程利用：是
来源：security@wordfence.com
受影响产品
以下产品受到CVE-2025-12087漏洞影响。即使cvefeed.io知晓受影响产品的确切版本信息，下表中也未显示这些信息。
暂无受影响产品记录
总计受影响供应商：0 | 产品：0
CVSS评分
通用漏洞评分系统是评估软件和系统中漏洞严重程度的标准化框架。我们为每个CVE收集并显示来自各种来源的CVSS分数。
| 分数 | 版本 | 严重性 | 向量 | 可利用性分数 | 影响分数 | 来源 |
|---|---|---|---|---|---|---|
| 4.3 | CVSS 3.1 | 中危 | 2.8 | 1.4 | security@wordfence.com |
解决方案
更新WooCommerce插件至解决不安全直接对象引用漏洞的版本。
- 将插件更新到最新版本
- 验证是否强制执行授权检查
- 审查AJAX操作的访问控制
咨询、解决方案和工具参考
在这里，您将找到与CVE-2025-12087相关的深入信息、实用解决方案和有价值工具的外部链接精选列表。
| URL | 资源 |
|---|---|
| https://plugins.trac.wordpress.org/log/aco-wishlist-for-woocommerce/ | |
| https://www.wordfence.com/threat-intel/vulnerabilities/id/17e8a743-7985-4b28-b854-ac052a834f3a?source=cve |
CWE - 通用弱点枚举
虽然CVE识别特定的漏洞实例，但CWE对可能导致漏洞的常见缺陷或弱点进行分类。CVE-2025-12087与以下CWE相关联：
CWE-639：通过用户控制键绕过授权
通用攻击模式枚举和分类(CAPEC)
通用攻击模式枚举和分类(CAPEC)存储攻击模式，这些模式描述了对手利用CVE-2025-12087弱点所采用的常见属性和方法。
漏洞历史详情
漏洞历史详情可用于了解漏洞的演变，并识别可能影响漏洞严重性、可利用性或其他特征的最新更改。
| 动作 | 类型 | 旧值 | 新值 |
|---|---|---|---|
| 添加 | 描述 | WordPress的Wishlist and Save for later for Woocommerce插件在所有版本（包括1.1.22及以下版本）中，通过’awwlm_remove_added_wishlist_page’ AJAX操作存在不安全直接对象引用漏洞，原因是缺少对用户控制键的验证。这使得经过认证的攻击者（具有订阅者级别及以上权限）能够删除其他用户愿望单中的项目。 | |
| 添加 | CVSS V3.1 | AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N | |
| 添加 | CWE | CWE-639 | |
| 添加 | 参考 | https://plugins.trac.wordpress.org/log/aco-wishlist-for-woocommerce/ | |
| 添加 | 参考 | https://www.wordfence.com/threat-intel/vulnerabilities/id/17e8a743-7985-4b28-b854-ac052a834f3a?source=cve |
漏洞评分详情
CVSS 3.1
基础CVSS分数：4.3
攻击向量：网络
攻击复杂度：低
所需权限：低
用户交互：无
范围：未更改
机密性影响：无
完整性影响：低
可用性影响：无