CVE-2026-18945
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WP Helper Premium dla WordPressa przed wersją 4.7.6 nie weryfikuje klucza zamówienia podczas renderowania niestandardowej strony potwierdzenia zamówienia ani podczas obsługi powiązanych akcji AJAX. Umożliwia to nieuwierzytelnionym użytkownikom podgląd szczegółów zamówień innych klientów, w tym danych osobowych, oraz zmianę stanu dowolnych zamówień. Wykorzystanie wymaga aktywnego WooCommerce oraz włączonego modułu opcjonalnej strony potwierdzenia zamówienia.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do danych osobowych klientów i manipulować zamówieniami, co może prowadzić do naruszenia prywatności, oszustw i zakłóceń w realizacji zamówień.
Rekomendacja
Zaktualizuj wtyczkę WP Helper Premium do wersji 4.7.6 lub nowszej, która zawiera poprawkę. Jeśli moduł strony potwierdzenia nie jest potrzebny, wyłącz go.
Oryginalny opis (angielski, źródło NVD)
The WP Helper Premium WordPress plugin before 4.7.6 does not verify the order key when rendering its custom order confirmation page or when handling the related AJAX actions, allowing unauthenticated users to view other customers' order details, including personal information, as well as change the state of arbitrary orders. Exploitation requires WooCommerce to be active and the WP Helper Premium WordPress plugin before 4.7.6's optional order confirmation page module to be enabled.