CVE-2024-1310
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Wtyczka WooCommerce dla WordPressa przed wersją 8.6 nie zapobiega wyciekowi informacji o produktach, do których użytkownicy z rolą przynajmniej współautora nie powinni mieć dostępu, np. produktach prywatnych, szkicach i usuniętych.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym ujawnieniu poufnych danych produktów, co może prowadzić do wycieku informacji biznesowych lub naruszenia prywatności.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki WooCommerce do wersji 8.6 lub nowszej, która usuwa tę podatność.
Inne podatności w WooCommerce
Zobacz wszystkie- CVE-2022-50972Krytyczne
WooCommerce w wersji 7.1.0 zawiera podatność na zdalne wykonanie kodu, która umożliwia atakującym wykonywanie dowolnego kodu PHP poprzez wstrzykiwanie poleceń powłoki za pomocą parametru typu produktu.
- CVE-2026-54807Krytyczne
W formularzu rejestracyjnym WooCommerce w wersjach do 1.0.9 występuje podatność na nieautoryzowane podniesienie uprawnień.
- CVE-2026-42386Krytyczne
Wersje WooCommerce do 4.5.1 zawierają podatność na nieautoryzowaną injekcję SQL w polu daty dostawy zamówienia.
- CVE-2026-48888Wysokie
Podatność na wyczerpanie zasobów bez limitów lub ograniczania przepustowości w WooCommerce od Automattic umożliwia atak HTTP DoS. Problem dotyczy WooCommerce w wersjach przed 11.1.0.
- CVE-2026-57777Wysokie
Wtyczka WooCommerce od Automattic zawiera podatność na ślepą iniekcję SQL (Blind SQL Injection) z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji przed 11.0.
- CVE-2026-49110Wysokie
W wersjach WooCommerce do 3.1.4 występuje podatność na nieautoryzowaną złamaną autoryzację w funkcji Upsell Order Bump Offer.
Oryginalny opis (angielski, źródło NVD)
The WooCommerce WordPress plugin before 8.6 does not prevent users with at least the contributor role from leaking products they shouldn't have access to. (e.g. private, draft and trashed products)
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS