CVE-2026-16612
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka FiboSearch dla WordPressa przed wersją 1.34.1 nie wyklucza konsekwentnie produktów chronionych hasłem z nieuwierzytelnionych punktów końcowych AJAX. Pozwala to nieuwierzytelnionym użytkownikom ujawniać i enumerować produkty chronione hasłem oraz ich metadane bez podawania hasła. Dotknięte są dwa punkty końcowe: autouzupełnianie (dgwt_wcas_ajax_search) oraz panel szczegółów (dgwt_wcas_result_details) przy zapytaniach o szczegóły taksonomii.
Ocena ryzyka
Ujawnienie produktów chronionych hasłem i ich metadanych może naruszyć poufność danych, które miały być dostępne tylko dla uprawnionych użytkowników. Może to prowadzić do wycieku informacji handlowych.
Rekomendacja
Zaktualizuj wtyczkę FiboSearch do wersji 1.34.1 lub nowszej. Sprawdź, czy produkty chronione hasłem są poprawnie wykluczane z wyników wyszukiwania.
Inne podatności w FiboSearch
Oryginalny opis (angielski, źródło NVD)
The FiboSearch WordPress plugin before 1.34.1 does not consistently exclude password-protected products from its unauthenticated AJAX endpoints, allowing unauthenticated users to disclose and enumerate password-protected products and their metadata without entering the product password. Two endpoints are affected: the autocomplete search endpoint (dgwt_wcas_ajax_search) and the Details Panel endpoint (dgwt_wcas_result_details) when queried for taxonomy details.