CVE-2026-16568

ŚrednieCVSS 4.3

Opublikowano: 27/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 27/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Wtyczka Mobile App for WooCommerce: ShopApper Mobile App Builder Service dla WordPressa do wersji 0.4.62 nie weryfikuje, czy żądający użytkownik jest właścicielem profilu klienta, który jest odpytywany przez jeden z jej endpointów REST. Pozwala to każdemu uwierzytelnionemu użytkownikowi (np. klientowi/subskrybentowi) na pobieranie danych osobowych innych użytkowników, w tym adresów e-mail, imion i ról.

Ocena ryzyka

Ujawnienie danych osobowych użytkowników może naruszać przepisy o ochronie danych (np. RODO) i prowadzić do kradzieży tożsamości lub phishingu.

Rekomendacja

Zaktualizuj wtyczkę do wersji nowszej niż 0.4.62, jeśli dostępna. Wdróż odpowiednią kontrolę dostępu, aby użytkownicy mogli odpytywać tylko własne profile.

Inne podatności w ShopApper Mobile App Builder

CVE-2026-16569Średnie
Wtyczka Mobile App for WooCommerce: ShopApper Mobile App Builder Service dla WordPressa do wersji 0.4.62 nie sprawdza uprawnień użytkownika przed umożliwieniem operacji aktualizacji stanu magazynowego przez jeden z jej endpointów REST. Pozwala to każdemu uwierzytelnionemu użytkownikowi, takiemu jak klient lub subskrybent, na zmianę ilości stanu magazynowego dowolnych produktów.

Oryginalny opis (angielski, źródło NVD)

The Mobile App for WooCommerce: ShopApper Mobile App Builder Service for WooCommerce WordPress plugin through 0.4.62 does not verify that the requesting user owns the customer profile being queried through one of its REST endpoints, allowing any authenticated user (e.g. a customer/subscriber) to retrieve other users' personal data, including their email address, name, and roles.