CVE-2025-14073

ŚrednieCVSS 5.3

Opublikowano: 01/08/2026(UTC)Zaktualizowano: 12/08/2026(UTC)Przetłumaczono: 01/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka WooCommerce PayPal Payments dla WordPressa jest podatna na ujawnienie wrażliwych informacji z powodu niebezpiecznego bezpośredniego odwołania do obiektu (IDOR) we wszystkich wersjach do 3.3.2 włącznie. Podatność występuje w funkcji enqueue_paypal_insights_script_on_order_received() z powodu braku walidacji klucza kontrolowanego przez użytkownika.

Ocena ryzyka

Nieuwierzytelnieni atakujący mogą uzyskać wrażliwe informacje o zamówieniach, w tym klucze zamówień, a następnie dostęp do pełnych danych klienta (imię, email, telefon, adres) za pośrednictwem WooCommerce Store API w ciągu 10 minut od utworzenia zamówienia. Może to prowadzić do kradzieży tożsamości lub oszustw.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki WooCommerce PayPal Payments do najnowszej wersji, która usuwa tę podatność. Należy również rozważyć ograniczenie dostępu do API Store dla niezalogowanych użytkowników.

Inne podatności w WooCommerce PayPal Payments

CVE-2026-9284Wysokie
Wtyczka WooCommerce PayPal Payments dla WordPressa do wersji 4.0.1 włącznie umożliwia nieuwierzytelnionym atakującym manipulację zamówieniami i wyciek informacji poprzez brak autoryzacji w endpointach AJAX ppc-create-order i ppc-get-order. Atakujący może tworzyć zamówienia PayPal dla dowolnego zamówienia WC oraz odczytywać szczegóły zamówień PayPal innych użytkowników.

Oryginalny opis (angielski, źródło NVD)

The WooCommerce PayPal Payments plugin for WordPress is vulnerable to Sensitive Information Disclosure due to an Insecure Direct Object Reference in all versions up to, and including, 3.3.2 via the `enqueue_paypal_insights_script_on_order_received()` function due to missing validation on a user controlled key. This makes it possible for unauthenticated attackers to obtain sensitive order information including order keys, which can then be leveraged to access full customer billing details (name, email, phone, address) via the WooCommerce Store API within a 10-minute grace period after order creation.