CVE-2026-118403
NieznaneStreszczenie
Wtyczka WordPress Premium Packages przed wersją 7.3.1 nie weryfikuje, czy żądający jest właścicielem zamówienia gościa, przed zwróceniem jego szczegółów. Umożliwia to nieuwierzytelnionym odwiedzającym znającym identyfikator zamówienia gościa przeglądanie jego statusu, statusu płatności oraz kwoty.
Ocena ryzyka
Atakujący może uzyskać informacje o zamówieniach gości, co stanowi naruszenie poufności danych zamówień.
Rekomendacja
Zaktualizuj wtyczkę Premium Packages do wersji 7.3.1 lub nowszej.
Inne podatności w Premium Packages WordPress plugin
Zobacz wszystkie- CVE-2026-118407Nieznane
Wtyczka WordPress Premium Packages przed wersją 7.3.1 nie weryfikuje, czy użytkownik przejmujący zamówienie gościa jest jego pierwotnym nabywcą. Umożliwia to każdemu zalogowanemu użytkownikowi przejęcie dowolnego nieodebranego zamówienia gościa poprzez podanie jedynie identyfikatora zamówienia.
- CVE-2026-118404Nieznane
Wtyczka WordPress Premium Packages przed wersją 7.3.1 nie weryfikuje własności ani powiązania z sesją podczas ładowania zapisanego koszyka zakupowego. Umożliwia to nieuwierzytelnionemu użytkownikowi, który pozna identyfikator zapisanego koszyka innego klienta, załadowanie jego zawartości do własnej sesji.
Oryginalny opis (angielski, źródło NVD)
The Premium Packages WordPress plugin before 7.3.1 does not verify that the requester owns a guest order before returning its details, allowing unauthenticated visitors who know a guest order's identifier to view its order status, payment status and total.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS