WooCommerce 11.2: zmiana uprawnień menedżera sklepu

WooCommerce 11.2 ograniczył możliwość edytowania kont użytkowników przez menedżera sklepu. Domyślnie może on edytować konta z samą rolą Customer. Jeśli konto ma też inną rolę, na przykład forumową lub członkowską, edycja jest zablokowana, chyba że każda z przypisanych ról znajduje się na liście dozwolonych. Administratorzy nadal mogą edytować takie konta. Zmianę opisano w informacjach o wydaniu WooCommerce 11.2.0.

To zabezpieczenie ogranicza możliwość zarządzania kontami o szerszych uprawnieniach. Nie oznacza jednak, że każda dodatkowa rola jest uprzywilejowana. Decyduje lista ról i to, czy konto ma przypisane wyłącznie role dopuszczone do edycji.

W skrócie

Domyślna lista ról edytowalnych przez menedżera sklepu obejmuje Customer.
Przy koncie z kilkoma rolami każda z nich musi być na liście dozwolonych.
Wyjątkową rolę można dodać filtrem woocommerce_shop_manager_editable_roles, ale sama lista nie nadaje uprawnień do zarządzania użytkownikami.
WooCommerce zaleca sprawdzenie zmian na stronie testowej przed wdrożeniem ich w sklepie.

Co zmieniło WooCommerce 11.2 w uprawnieniach menedżera sklepu

Wydanie WooCommerce 11.2.0 opublikowano 7 października 2026 r. Wśród zmian bezpieczeństwa znalazło się ograniczenie edycji użytkowników przez menedżerów sklepu. W praktyce menedżer nie może edytować konta z rolą spoza woocommerce_shop_manager_editable_roles, nawet jeśli konto ma równocześnie rolę Customer. Notatki do wydania wymieniają między innymi role bbPress i Ultimate Member jako przykłady ról, które mogą występować obok roli klienta.

Konto użytkownika	Domyślny wynik dla menedżera sklepu	Dlaczego
Tylko Customer	Można edytować	Customer znajduje się na domyślnej liście
Tylko rola spoza listy, np. forumowa	Nie można edytować	Rola nie jest dozwolona
Customer i dodatkowa rola spoza listy	Nie można edytować	Każda rola konta musi być dozwolona
Customer i dodatkowa rola dodana do listy	Można edytować	Wszystkie przypisane role są dozwolone
Konto z rolą spoza listy, edytowane przez administratora	Administrator może edytować	Zmiana ogranicza uprawnienia menedżera sklepu

Tabela pokazuje regułę roli, a nie pełną listę warunków dostępu w każdej instalacji. Wtyczki mogą dodawać własne role, a uprawnienia tych ról zależą od konfiguracji witryny.

Lista ról a uprawnienia WordPressa

Rola to zestaw uprawnień, które konto otrzymuje w WordPressie i wtyczkach. Menedżer sklepu może mieć dostęp do danych użytkowników, ale lista ról określa, które konta może edytować. Dokumentacja WooCommerce wyjaśnia, że filtr woocommerce_shop_manager_editable_roles steruje kwalifikacją ról do edycji, lecz sam nie nadaje uprawnień do zarządzania użytkownikami. WooCommerce nadal sprawdza, czy zalogowana osoba może wykonać daną czynność. Dokumentacja WordPressa opisuje też, jak lista ról edytowalnych wpływa na przypisywanie ról.

W przypadku konta z kilkoma rolami obowiązuje zasada „wszystkie role muszą pasować”. Na przykład konto z rolami Customer i subscriber nie będzie edytowalne, jeśli na liście dozwolonych jest tylko Customer. Po dodaniu subscriber konto może przejść kontrolę listy, o ile spełnione są również pozostałe kontrole uprawnień.

Jak sprawdzić zmianę na stronie testowej

WooCommerce zaleca przetestowanie zmian uprawnień poza produkcyjnym sklepem oraz sprawdzenie możliwości każdej roli przed dopisaniem jej do listy. Dokumentacja pokazuje również testy kont z pojedynczą rolą, rolami mieszanymi i rolą spoza listy.

Sprawdź, czy strona testowa działa na WooCommerce 11.2.0 i WordPressie 7.0 lub nowszym. Plik główny WooCommerce 11.2.0 deklaruje minimalną wersję WordPressa 7.0. Wersje sprawdzisz w WooCommerce > Status, w sekcji środowiska WordPressa. Zapisz też, jakie role ma konto problematycznego użytkownika. Wymóg wersji WordPressa wynika z pliku WooCommerce 11.2.0, a dokumentacja WooCommerce pokazuje, gdzie sprawdzić wersje obu programów.
Zaloguj się jako menedżer sklepu i sprawdź edycję konta z samą rolą Customer.
Sprawdź konto z dwiema rolami, na przykład Customer i subscriber, oraz konto z rolą spoza listy, na przykład Administrator. Po zmianie konto z rolą niedozwoloną powinno pozostać zablokowane dla menedżera.
Zaloguj się jako administrator i upewnij się, że nadal może edytować konto wymagające obsługi administracyjnej.
Jeśli korzystasz z integracji REST API, sprawdź ją osobno. Dokumentacja WooCommerce zaznacza, że odczyt danych i ich edycja lub usuwanie podlegają różnym kontrolom.

Jeśli sklep rzeczywiście wymaga, by menedżer obsługiwał dodatkową rolę, WooCommerce udostępnia filtr woocommerce_shop_manager_editable_roles. Przykład z dokumentacji dopisuje subscriber do domyślnej listy. Użyj go tylko wtedy, gdy ta rola istnieje na stronie i po sprawdzeniu jej uprawnień.

Na stronie testowej zainstaluj i aktywuj wtyczkę Code Snippets z katalogu WordPressa. W panelu tej wtyczki utwórz nowy fragment PHP, wklej poniższy kod, zapisz go i włącz. Code Snippets udostępnia interfejs do dodawania i zarządzania takimi fragmentami, bez edycji pliku functions.php motywu.

add_filter(
    'woocommerce_shop_manager_editable_roles',
    function ( $roles ) {
        $roles[] = 'subscriber';
        return array_unique( $roles );
    }
);

Po aktywacji sprawdź, czy panel i witryna ładują się bez błędu PHP. Następnie zaloguj się jako menedżer sklepu i sprawdź edycję konta z samą rolą subscriber. Sprawdź też konto z samą rolą Customer, konto z rolami Customer i subscriber oraz konto z rolą spoza listy, na przykład Administrator. Dokumentacja WooCommerce opisuje te kontrole i oczekiwane wyniki. Wdrożenie zmian w kodzie wymaga ostrożności: dokumentacja zaleca najpierw sprawdzenie ich na stronie testowej. Nie dodawaj roli tylko po to, by odblokować konkretne konto, bez sprawdzenia jej możliwości.

FAQ

Czy menedżer sklepu może edytować klientów po aktualizacji?

Tak, jeśli konto ma wyłącznie rolę Customer i pozostałe kontrole uprawnień pozwalają na daną czynność. Problem może dotyczyć kont, którym wtyczka przypisała także inną rolę.

Dlaczego nie mogę edytować użytkownika z rolą Customer?

Sprawdź, czy konto nie ma dodatkowej roli. Przy kilku rolach każda musi znajdować się na liście woocommerce_shop_manager_editable_roles. Sam widok konta na liście użytkowników nie oznacza, że menedżer może je edytować.

Czy można przywrócić edycję wybranej roli?

Tak. Filtr woocommerce_shop_manager_editable_roles pozwala dopisać rolę do listy. Najpierw sprawdź jej uprawnienia i przetestuj zmianę na stronie testowej. Filtr nie nadaje samodzielnie podstawowych uprawnień do zarządzania użytkownikami.

Czy administrator także traci możliwość edycji?

Nie. Informacje o wydaniu WooCommerce 11.2 wskazują, że administratorzy nadal mogą edytować konta z rolami spoza listy menedżera sklepu.

Stan informacji sprawdzony 16 października 2026 r.

Co dalej

Jeśli przygotowujesz sklep do aktualizacji WooCommerce 11.2, przeczytaj też jak przeprowadzić audyt CSV i EAN przed aktualizacją.