CVE-2026-14832
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka ShopSmart Loyalty for WooCommerce do wersji 1.0.0 nie przeprowadza autoryzacji ani weryfikacji własności przy wyszukiwaniu numeru telefonu, które jest dostępne dla nieuwierzytelnionych użytkowników. Każdy, kto zna numer telefonu klienta, może pobrać jego profil lojalnościowy, w tym imię, nazwisko, e-mail i saldo konta.
Ocena ryzyka
Atakujący może uzyskać dostęp do danych osobowych klientów, co narusza prywatność i może prowadzić do kradzieży tożsamości lub oszustw.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji, gdy tylko producent wyda poprawkę. Ogranicz dostęp do funkcji wyszukiwania numeru telefonu lub wymagaj uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
The ShopSmart Loyalty for WooCommerce WordPress plugin through 1.0.0 does not perform any authorization or ownership check on a phone-number lookup exposed to unauthenticated users, allowing anyone who knows a customer's phone number to retrieve that customer's loyalty profile, including name, email, and account balance.