CVE-2026-16981
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka DHL Shipping Germany dla WooCommerce przed wersją 4.0.1 nie przeprowadza żadnej kontroli autoryzacji (brak sprawdzenia uprawnień, nonce, logowania ani własności) na jednym z endpointów do pobierania etykiet wysyłkowych. Niezalogowany atakujący może enumerować sekwencyjne identyfikatory i pobrać wszystkie zapisane etykiety, zawierające pełne imię i nazwisko klienta, adres pocztowy i numer zamówienia.
Ocena ryzyka
Podatność prowadzi do ujawnienia danych osobowych klientów (imię, nazwisko, adres, numer zamówienia), co narusza RODO i może skutkować karami finansowymi oraz utratą zaufania klientów.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do wersji 4.0.1 lub nowszej oraz ograniczenie dostępu do endpointów tylko dla zalogowanych użytkowników z odpowiednimi uprawnieniami.
Inne podatności w DHL Shipping Germany for WooCommerce
Oryginalny opis (angielski, źródło NVD)
The DHL Shipping Germany for WooCommerce WordPress plugin before 4.0.1 does not perform any authorization check (no capability, nonce, login, or ownership check) on one of its shipping-label download endpoints, so an unauthenticated attacker can enumerate sequential ids and download every stored shipping label, each containing the customer's full name, complete postal address, and order reference.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS