CVE-2026-103367
WysokieCVSS 8.1Streszczenie
Wtyczka ShopMagic – email automation dla WordPressa jest podatna na lokalne włączenie plików (LFI) we wszystkich wersjach do 4.9.0 włącznie, poprzez parametr 'billing_address.first_name'. Umożliwia to nieuwierzytelnionym atakującym włączenie i wykonanie dowolnych plików .php na serwerze, co może prowadzić do obejścia kontroli dostępu, wycieku danych lub wykonania kodu. Eksploatacja wymaga opublikowanego przepisu przetwarzającego placeholder {{ customer.first_name }} — wbudowany przepis "New Order email with social media profile links" spełnia ten warunek domyślnie, więc domyślna konfiguracja jest podatna bez konta, ciasteczka czy nonce.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolny kod PHP na serwerze, co prowadzi do pełnego przejęcia witryny i wycieku danych. Domyślna konfiguracja wtyczki jest podatna, co znacząco zwiększa ryzyko masowej eksploatacji.
Rekomendacja
Zaktualizuj wtyczkę ShopMagic do wersji nowszej niż 4.9.0 lub ją wyłącz. Sprawdź, czy nie są używane przepisy przetwarzające placeholder {{ customer.first_name }}, i przejrzyj logi pod kątem podejrzanych żądań.
Inne podatności w ShopMagic
Zobacz wszystkie- CVE-2025-69093Średnie
Wtyczka ShopMagic dla WooCommerce zawiera podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 4.7.2 włącznie.
- CVE-2025-59578Średnie
Wtyczka ShopMagic dla WooCommerce do wersji 4.5.6 włącznie wysyła wrażliwe informacje w przesyłanych danych, co pozwala na odzyskanie osadzonych danych wrażliwych.
Oryginalny opis (angielski, źródło NVD)
The ShopMagic – email automation for WordPress plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 4.9.0 via the 'billing_address.first_name' parameter parameter. This makes it possible for unauthenticated attackers to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included. Exploitation requires a published recipe that processes the {{ customer.first_name }} placeholder — the plugin's built-in "New Order email with social media profile links" recipe satisfies this requirement out of the box, making the default configuration exploitable with no account, cookie, or nonce by simply submitting a guest checkout with the payload as the billing first name.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS