CVE-2025-15033
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Podatność w WooCommerce w wersjach od 8.1 do 10.4.2 pozwala zalogowanym klientom na dostęp do danych zamówień klientów-gości na stronach o określonej konfiguracji. Problem naprawiono w wersji 10.4.3 oraz w wydaniach punktowych dla wcześniejszych wersji, począwszy od 8.1.3. Wersje 8.0 i starsze nie są dotknięte.
Ocena ryzyka
Może dojść do nieuprawnionego ujawnienia danych zamówień klientów-gości, co stanowi naruszenie poufności danych osobowych i może skutkować konsekwencjami prawnymi oraz utratą zaufania klientów.
Rekomendacja
Zaktualizuj WooCommerce do wersji 10.4.3 lub odpowiedniego wydania punktowego (np. 8.1.3) i zweryfikuj konfigurację sklepu pod kątem dostępu do zamówień gości.
Inne podatności w WooCommerce
Zobacz wszystkie- CVE-2022-50972Krytyczne
WooCommerce w wersji 7.1.0 zawiera podatność na zdalne wykonanie kodu, która umożliwia atakującym wykonywanie dowolnego kodu PHP poprzez wstrzykiwanie poleceń powłoki za pomocą parametru typu produktu.
- CVE-2026-54807Krytyczne
W formularzu rejestracyjnym WooCommerce w wersjach do 1.0.9 występuje podatność na nieautoryzowane podniesienie uprawnień.
- CVE-2026-42386Krytyczne
Wersje WooCommerce do 4.5.1 zawierają podatność na nieautoryzowaną injekcję SQL w polu daty dostawy zamówienia.
- CVE-2026-106608Wysokie
Podatność polegająca na nieprawidłowym przypisaniu uprawnień w WooCommerce. Umożliwia eskalację uprawnień. Dotyczy wersji od 9.8.0 do 11.1.2.
- CVE-2026-48888Wysokie
Podatność na wyczerpanie zasobów bez limitów lub ograniczania przepustowości w WooCommerce od Automattic umożliwia atak HTTP DoS. Problem dotyczy WooCommerce w wersjach przed 11.1.0.
- CVE-2026-57777Wysokie
Wtyczka WooCommerce od Automattic zawiera podatność na ślepą iniekcję SQL (Blind SQL Injection) z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji przed 11.0.
- CVE-2026-49110Wysokie
W wersjach WooCommerce do 3.1.4 występuje podatność na nieautoryzowaną złamaną autoryzację w funkcji Upsell Order Bump Offer.
- CVE-2025-49042Średnie
Wtyczka WooCommerce od Automattic do wersji 10.0.2 zawiera podatność na przechowywany XSS (Cross-site Scripting) z powodu niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
- CVE-2024-1310Średnie
Wtyczka WooCommerce dla WordPressa przed wersją 8.6 nie zapobiega wyciekowi informacji o produktach, do których użytkownicy z rolą przynajmniej współautora nie powinni mieć dostępu, np. produktach prywatnych, szkicach i usuniętych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in WooCommerce 8.1 to 10.4.2 can allow logged-in customers to access order data of guest customers on sites with a certain configuration. This has been fixed in WooCommerce 10.4.3, as well as all the previously affected versions through point releases, starting from 8.1, where it has been fixed in 8.1.3. It does not affect WooCommerce 8.0 or earlier.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS