CVE-2026-14500
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Wtyczka Bulk Order Update for WooCommerce dla WordPressa w wersji do 1.6 zawiera podatność na odczyt dowolnych plików. Niezautoryzowani atakujący mogą odczytać pierwszą linię dowolnego pliku na serwerze, np. /etc/passwd, wykorzystując handler AJAX bouw_fetch_csv_data().
Ocena ryzyka
Ryzyko polega na możliwości odczytu wrażliwych danych systemowych przez nieuwierzytelnionego atakującego, co może prowadzić do eskalacji ataku lub wycieku informacji o konfiguracji serwera.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Bulk Order Update for WooCommerce do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę.
Oryginalny opis (angielski, źródło NVD)
The Bulk Order Update for WooCommerce plugin for WordPress is vulnerable to Arbitrary File Read in versions up to, and including, 1.6. This is due to the bouw_fetch_csv_data() AJAX handler being registered on the wp_ajax_nopriv_ hook with no capability or nonce check, and passing the attacker-supplied csv_url POST parameter — filtered only by esc_url_raw() (which leaves absolute filesystem paths intact) and validate_file() (which only rejects '..' traversal patterns) — directly into fopen()/fgetcsv() and reflecting the first parsed line in the JSON response. This makes it possible for unauthenticated attackers to read the first line of arbitrary files on the server (such as /etc/passwd) and to use the handler as a file-existence oracle.