CVE-2026-100142
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress FluentCart przed wersją 2.2.0 nie weryfikuje, czy zapisany adres klienta wybrany podczas finalizacji zamówienia należy do osoby składającej zamówienie. Pozwala to nieuwierzytelnionym atakującym przypisać dowolny zapisany adres klienta do składanego zamówienia i odczytać go, ujawniając adresy pocztowe, numery telefonów i dane firmowe klientów.
Ocena ryzyka
Ujawnienie danych osobowych klientów (adresy, telefony, dane firmowe) może naruszać prywatność i przepisy o ochronie danych. Może również podważyć zaufanie do sklepu internetowego.
Rekomendacja
Zaktualizuj wtyczkę FluentCart do wersji 2.2.0 lub nowszej. Po aktualizacji sprawdź, czy wybór adresu podczas finalizacji zamówienia jest powiązany z zalogowanym klientem.
Inne podatności w FluentCart
Zobacz wszystkie- CVE-2026-109695Wysokie
Wtyczka WordPress FluentCart (fluent-cart) w wersjach do 1.7.1 zawiera podatność polegającą na umieszczaniu poufnych informacji w wysyłanych danych, co pozwala na odzyskanie osadzonych poufnych danych.
- CVE-2026-120577Wysokie
Wtyczka FluentCart dla WordPressa jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżki pliku w funkcji deleteFile we wszystkich wersjach do 1.6.2 włącznie. Uwierzytelniony atakujący z dostępem na poziomie custom lub wyższym może usunąć dowolne pliki na serwerze.
- CVE-2026-103525Wysokie
Wtyczka FluentCart dla WordPressa (wersje do 1.7.0 włącznie) jest podatna na Insecure Direct Object Reference (IDOR) poprzez parametr 'order_id + billing_address_id (also shipping_address_id)' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Nieuwierzytelniony atakujący może odczytać i wyeksfiltrować dane adresowe rozliczeniowe i wysyłkowe innych klientów, w tym adres, miasto, stan, kod pocztowy, telefon, nazwę firmy, numer VAT i identyfikator rejestracyjny.
- CVE-2026-103518Średnie
Wtyczka FluentCart dla WordPressa w wersjach do 1.7.0 włącznie jest podatna na SQL Injection poprzez parametr 'products[*].variants[*].<klucz wybrany przez atakującego>' z powodu niewystarczającego escapowania danych wejściowych. Uwierzytelniony atakujący z uprawnieniami custom-level może dopisywać zapytania SQL i wyciągać wrażliwe dane z bazy; w FluentCart Pro rola Manager sklepu również posiada uprawnienie products/edit.
- CVE-2026-14926Średnie
Wtyczka FluentCart dla WordPressa przed wersją 1.4.0 nie weryfikuje, czy subskrypcja należy do żądającego klienta w kilku endpointach metod płatności. Umożliwia to uwierzytelnionemu klientowi działanie na subskrypcji innego klienta (zmianę metody płatności, anulowanie lub ponowne przypisanie) po poznaniu identyfikatora docelowej subskrypcji.
- CVE-2025-13495Średnie
Wtyczka FluentCart dla WordPressa jest podatna na wstrzyknięcie SQL poprzez parametr groupKey we wszystkich wersjach do 1.3.1 włącznie. Uwierzytelniony atakujący z poziomem dostępu administratora lub wyższym może dołączyć dodatkowe zapytania SQL, aby wyodrębnić poufne informacje z bazy danych.
Oryginalny opis (angielski, źródło NVD)
The FluentCart A New Era of eCommerce WordPress plugin before 2.2.0 does not verify that a stored customer address selected during checkout belongs to the requester, allowing unauthenticated attackers to attach any customer's stored address to an order they place and read it back, disclosing customers' postal addresses, phone numbers and company details.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS