CVE-2026-109695
WysokieCVSS 7.5Streszczenie
Wtyczka WordPress FluentCart (fluent-cart) w wersjach do 1.7.1 zawiera podatność polegającą na umieszczaniu poufnych informacji w wysyłanych danych, co pozwala na odzyskanie osadzonych poufnych danych.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych informacji, takich jak dane uwierzytelniające lub klucze API, co może prowadzić do dalszych naruszeń bezpieczeństwa.
Rekomendacja
Zaktualizuj wtyczkę FluentCart do wersji nowszej niż 1.7.1.
Inne podatności w FluentCart
Zobacz wszystkie- CVE-2026-103525Wysokie
Wtyczka FluentCart dla WordPressa (wersje do 1.7.0 włącznie) jest podatna na Insecure Direct Object Reference (IDOR) poprzez parametr 'order_id + billing_address_id (also shipping_address_id)' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Nieuwierzytelniony atakujący może odczytać i wyeksfiltrować dane adresowe rozliczeniowe i wysyłkowe innych klientów, w tym adres, miasto, stan, kod pocztowy, telefon, nazwę firmy, numer VAT i identyfikator rejestracyjny.
- CVE-2026-103518Średnie
Wtyczka FluentCart dla WordPressa w wersjach do 1.7.0 włącznie jest podatna na SQL Injection poprzez parametr 'products[*].variants[*].<klucz wybrany przez atakującego>' z powodu niewystarczającego escapowania danych wejściowych. Uwierzytelniony atakujący z uprawnieniami custom-level może dopisywać zapytania SQL i wyciągać wrażliwe dane z bazy; w FluentCart Pro rola Manager sklepu również posiada uprawnienie products/edit.
- CVE-2026-14926Średnie
Wtyczka FluentCart dla WordPressa przed wersją 1.4.0 nie weryfikuje, czy subskrypcja należy do żądającego klienta w kilku endpointach metod płatności. Umożliwia to uwierzytelnionemu klientowi działanie na subskrypcji innego klienta (zmianę metody płatności, anulowanie lub ponowne przypisanie) po poznaniu identyfikatora docelowej subskrypcji.
Oryginalny opis (angielski, źródło NVD)
Insertion of Sensitive Information Into Sent Data vulnerability in WPManageNinja FluentCart fluent-cart allows Retrieve Embedded Sensitive Data.This issue affects FluentCart: from n/a through 1.7.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS