CVE-2026-13607

ŚrednieCVSS 5.9

Opublikowano: 05/10/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 05/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

Wtyczka File Uploads Addon for WooCommerce dla WordPressa do wersji 1.7.6 przechowuje pliki przesłane przez klientów w publicznie dostępnym katalogu uploads, a wygenerowane ograniczenie dostępu jest nieskuteczne. Nieuwierzytelniony atakujący, który zna lub zgadnie nazwę pliku, może pobrać pliki klientów bezpośrednio, omijając mechanizm uwierzytelnionego pobierania.

Ocena ryzyka

Atakujący może uzyskać dostęp do poufnych plików klientów bez autoryzacji, co może prowadzić do wycieku danych osobowych lub wrażliwych informacji.

Rekomendacja

Zaktualizuj wtyczkę File Uploads Addon for WooCommerce do najnowszej wersji, która zawiera poprawki zabezpieczeń. Dodatkowo przenieś katalog uploads poza publiczny dostęp lub wdróż skuteczne mechanizmy kontroli dostępu.

Inne podatności w File Uploads Addon for WooCommerce

CVE-2026-78371Średnie
Wtyczka File Uploads Addon for WooCommerce dla WordPressa przed wersją 1.7.6 nie weryfikuje, czy osoba żądająca pliku przesłanego przez klienta jest tym klientem. Pozwala to nieuwierzytelnionym atakującym, którzy znają lub zgadną nazwę pliku, na pobieranie plików innych klientów.

Oryginalny opis (angielski, źródło NVD)

The File Uploads Addon for WooCommerce WordPress plugin through 1.7.6 stores customer-uploaded files in a publicly web-accessible uploads directory and the access restriction it generates is ineffective, so an unauthenticated attacker who knows or guesses a file's name can retrieve customer-uploaded files directly, bypassing the File Uploads Addon for WooCommerce WordPress plugin through 1.7.6's authenticated download mechanism.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS