CVE-2026-14858
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress WP Crowdfunding przed wersją 2.2.1 nie weryfikuje własności zamówienia przed zwróceniem szczegółów zamówienia. Każdy zalogowany użytkownik, np. subskrybent, może czytać dane osobowe dowolnego zamówienia WooCommerce i wyliczyć wszystkie zamówienia w sklepie.
Ocena ryzyka
Poważne naruszenie prywatności klientów, w tym dane osobowe i szczegóły zamówień. Może to prowadzić do kradzieży tożsamości i naruszeń RODO.
Rekomendacja
Zaktualizuj wtyczkę WP Crowdfunding do wersji 2.2.1 lub nowszej. Wdróż kontrolę własności zasobów w zapytaniach o zamówienia.
Oryginalny opis (angielski, źródło NVD)
The WP Crowdfunding WordPress plugin before 2.2.1 does not verify order ownership before returning order details, allowing any authenticated users such as Subscribers to read the personal data of any WooCommerce order and enumerate every order in the store.