CVE-2026-18603
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress PiWeb Cancel order / Refund request for WooCommerce przed wersją 1.3.4.34 nie przeprowadza autoryzacji ani kontroli własności podczas dodawania zawartości poprzedniego zamówienia do koszyka, co pozwala nieuwierzytelnionym użytkownikom na ujawnienie zawartości zamówień innych klientów oraz na wyczyszczenie i ponowne wypełnienie koszyka zalogowanego użytkownika za pomocą spreparowanego linku.
Ocena ryzyka
Nieuwierzytelnieni atakujący mogą uzyskać dostęp do poufnych danych zamówień innych klientów, co narusza prywatność i może prowadzić do kradzieży danych lub manipulacji koszykiem.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do wersji 1.3.4.34 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
The PiWeb Cancel order / Refund request for WooCommerce WordPress plugin before 1.3.4.34 does not have authorization or ownership checks when adding the contents of a previous order to the cart, allowing unauthenticated users to disclose the contents of other customers' orders, as well as to clear and repopulate a logged in user's cart via a crafted link.