CVE-2026-14562
ŚrednieCVSS 5.3Streszczenie
Wtyczka WordPress teddy-bear-customize-addon do wersji 1.0.5 nie wykonuje żadnych sprawdzeń autoryzacji ani własności przed zwróceniem metadanych zamówienia WooCommerce oraz adresów URL załączników przesłanych przez klientów. Umożliwia to nieuwierzytelnionym atakującym ujawnienie danych zamówień i załączników innych klientów.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do danych zamówień i plików przesłanych przez innych klientów, co stanowi poważne naruszenie poufności i może skutkować wyciekiem danych osobowych. Może to prowadzić do konsekwencji prawnych i utraty zaufania klientów.
Rekomendacja
Zaktualizuj wtyczkę teddy-bear-customize-addon do wersji nowszej niż 1.0.5 lub ją usuń, jeśli nie jest używana. Oceń zakres potencjalnego wycieku danych i podejmij odpowiednie działania zgodnie z RODO.
Inne podatności w teddy-bear-customize-addon WordPress plugin
Zobacz wszystkie- CVE-2026-14560Krytyczne
Wtyczka WordPress teddy-bear-customize-addon w wersjach do 1.0.5 nieprawidłowo waliduje przesyłane pliki, opierając się na typie treści dostarczonym przez klienta i zachowując oryginalną nazwę pliku. Umożliwia to nieuwierzytelnionym atakującym przesłanie dowolnych plików PHP i wykonanie kodu na serwerze.
- CVE-2026-14559Krytyczne
Wtyczka WordPress teddy-bear-customize-addon w wersjach do 1.0.5 nie weryfikuje hasła użytkownika przed jego uwierzytelnieniem. Umożliwia to nieuwierzytelnionym atakującym zalogowanie się jako dowolny zarejestrowany użytkownik, w tym administrator, podając jedynie jego adres e-mail.
Oryginalny opis (angielski, źródło NVD)
The teddy-bear-customize-addon WordPress plugin through 1.0.5 does not perform any authorization or ownership checks before returning WooCommerce order metadata and the URLs of customer-uploaded attachments, allowing unauthenticated attackers to disclose other customers' order and attachment data.