CVE-2026-107646
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Wtyczka HUSKY – Products Filter for WooCommerce Professional dla WordPressa w wersjach do 1.4.5 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'woof_settings[woof_stat][server_options]'. Nieuwierzytelniony atakujący może odczytać z publicznej strony filtra dane połączenia z zewnętrznym serwerem MySQL, w tym nazwę hosta, nazwę bazy, nazwę użytkownika oraz hasło zapisane w postaci jawnej.
Ocena ryzyka
Wyciek danych uwierzytelniających do zewnętrznej bazy MySQL może umożliwić atakującemu bezpośredni dostęp do bazy danych i kradzież lub modyfikację danych. Podatność jest wykorzystywana bez logowania, gdy administrator włączył rozszerzenie statystyk i tryb Turbo.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 1.4.5, a jeśli to niemożliwe, wyłącz rozszerzenie statystyk i tryb Turbo oraz zmień poświadczenia do zewnętrznej bazy MySQL.
Inne podatności w HUSKY – Products Filter for WooCommerce Professional
Oryginalny opis (angielski, źródło NVD)
The HUSKY – Products Filter for WooCommerce Professional plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 1.4.5 via the 'woof_settings[woof_stat][server_options]' parameter. This makes it possible for unauthenticated attackers to extract the external MySQL host, database name, username, and plaintext password stored in woof_settings[woof_stat][server_options] from the inline woof_tm_data script object on any public frontend filter page. This is only exploitable when an administrator has enabled the Statistics extension, saved external MySQL connection credentials, and enabled Turbo Mode — all supported, documented plugin configurations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS