CVE-2026-15056
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Wtyczka StoreEngine dla WordPressa do wersji 2.1.1 włącznie jest podatna na Directory Traversal przez funkcję parse_file_path. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie sprzedawcy i wyżej odczytanie zawartości dowolnych plików na serwerze, które mogą zawierać wrażliwe informacje.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych plików, takich jak pliki konfiguracyjne, dane uwierzytelniające lub dane klientów, co może prowadzić do naruszenia bezpieczeństwa i wycieku danych.
Rekomendacja
Zaktualizuj wtyczkę StoreEngine do najnowszej wersji zawierającej poprawkę. Ogranicz dostęp do funkcji sprzedawcy tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The StoreEngine — Complete eCommerce Solution with Memberships, Licensing, Affiliates & More plugin for WordPress is vulnerable to Directory Traversal in all versions up to, and including, 2.1.1 via the parse_file_path function. This makes it possible for authenticated attackers, with vendor-level access and above, to read the contents of arbitrary files on the server, which can contain sensitive information.