CVE-2026-15214

ŚrednieCVSS 4.3

Opublikowano: 07/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 07/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Wtyczka Subscriptions for WooCommerce dla WordPressa przed wersją 2.0.1 nie weryfikuje, czy żądający jest właścicielem subskrypcji przed wyświetleniem jej szczegółów, co pozwala każdemu uwierzytelnionemu klientowi na odczytanie informacji o subskrypcji innego klienta (subskrybowany produkt, status i daty) poprzez podanie jej ID.

Ocena ryzyka

Atakujący może uzyskać dostęp do poufnych informacji o subskrypcjach innych klientów, co narusza prywatność i może być wykorzystane do dalszych ataków.

Rekomendacja

Zaktualizuj wtyczkę Subscriptions for WooCommerce do wersji 2.0.1 lub nowszej. Upewnij się, że kontrola własności jest przeprowadzana przed wyświetleniem szczegółów subskrypcji.

Inne podatności w Subscriptions for WooCommerce WordPress plugin

CVE-2026-15215Wysokie
Wtyczka Subscriptions for WooCommerce dla WordPressa przed wersją 2.0.1 nie weryfikuje uprawnień użytkownika przed instalacją i aktywacją wtyczki z podanego przez użytkownika slug przez akcję AJAX chronioną nonce, co pozwala użytkownikom z rolą Shop Manager (którym brakuje uprawnień do zarządzania tą wtyczką) na instalację i aktywację dowolnych wtyczek, co prowadzi do zdalnego wykonania kodu.

Oryginalny opis (angielski, źródło NVD)

The Subscriptions for WooCommerce WordPress plugin before 2.0.1 does not verify that the requester owns the subscription being viewed before rendering its details, allowing any authenticated customer to read another customer's subscription information (the subscribed product, status, and dates) by supplying that subscription's ID.