CVE-2026-118407
NieznaneStreszczenie
Wtyczka WordPress Premium Packages przed wersją 7.3.1 nie weryfikuje, czy użytkownik przejmujący zamówienie gościa jest jego pierwotnym nabywcą. Umożliwia to każdemu zalogowanemu użytkownikowi przejęcie dowolnego nieodebranego zamówienia gościa poprzez podanie jedynie identyfikatora zamówienia.
Ocena ryzyka
Atakujący może uzyskać dostęp do danych rozliczeniowych kupującego oraz pobrać zakupione przez niego pliki, co stanowi naruszenie poufności danych klientów.
Rekomendacja
Zaktualizuj wtyczkę Premium Packages do wersji 7.3.1 lub nowszej.
Inne podatności w Premium Packages WordPress plugin
Zobacz wszystkie- CVE-2026-118404Nieznane
Wtyczka WordPress Premium Packages przed wersją 7.3.1 nie weryfikuje własności ani powiązania z sesją podczas ładowania zapisanego koszyka zakupowego. Umożliwia to nieuwierzytelnionemu użytkownikowi, który pozna identyfikator zapisanego koszyka innego klienta, załadowanie jego zawartości do własnej sesji.
- CVE-2026-118403Nieznane
Wtyczka WordPress Premium Packages przed wersją 7.3.1 nie weryfikuje, czy żądający jest właścicielem zamówienia gościa, przed zwróceniem jego szczegółów. Umożliwia to nieuwierzytelnionym odwiedzającym znającym identyfikator zamówienia gościa przeglądanie jego statusu, statusu płatności oraz kwoty.
Oryginalny opis (angielski, źródło NVD)
The Premium Packages WordPress plugin before 7.3.1 does not verify that a user claiming a guest order is the original buyer, allowing any authenticated user to take ownership of any unclaimed guest order, and thereby read the buyer's billing details and download their purchased files, by supplying only the order identifier.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS