CVE-2026-100143

ŚrednieCVSS 6.5

Opublikowano: 30/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 30/09/2026(UTC)NVD NIST

Streszczenie

Wtyczka FluentCart A New Era of eCommerce dla WordPressa przed wersją 1.6.5 nie weryfikuje, czy osoba składająca zamówienie jako gość kontroluje podany adres e-mail, co pozwala nieuwierzytelnionym atakującym, którzy znają adres e-mail istniejącego klienta-gościa, na uzyskanie zalogowanego konta z tym adresem oraz z zapisanym rekordem klienta.

Ocena ryzyka

Ryzyko polega na tym, że atakujący może przejąć konto klienta-gościa, uzyskując dostęp do jego danych i historii zamówień, co może prowadzić do naruszenia prywatności i oszustw.

Rekomendacja

Zaleca się aktualizację wtyczki FluentCart do wersji 1.6.5 lub nowszej, która zawiera poprawkę weryfikującą kontrolę adresu e-mail podczas składania zamówienia jako gość.

Inne podatności w FluentCart WordPress plugin

CVE-2026-14927Niskie
Wtyczka FluentCart dla WordPress przed wersją 1.5.3 nie sprawdza autoryzacji ani własności przed wyświetleniem dokumentów zamówień klientów, które są identyfikowane sekwencyjnym numerem. Niezalogowani odwiedzający mogą enumerować i ujawniać dane osobowe klientów (imiona, adresy e-mail, adresy rozliczeniowe i wysyłkowe oraz szczegóły zamówień) w całym sklepie.

Oryginalny opis (angielski, źródło NVD)

The FluentCart A New Era of eCommerce WordPress plugin before 1.6.5 does not verify that the person placing a guest checkout controls the email address supplied, allowing unauthenticated attackers who know an existing guest customer's email to obtain a logged-in account bearing that address together with the customer's stored record.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS