CVE-2026-19088
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka ShopEngine Elementor WooCommerce Builder Addon dla WordPressa przed wersją 4.9.3 nie chroni jednego ze swoich punktów końcowych uwierzytelniania przed CSRF, umożliwiając atakującemu zalogowanie ofiary na konto kontrolowane przez atakującego. Dzięki temu dane rozliczeniowe i wysyłkowe, które ofiara następnie wprowadza podczas finalizacji zakupu, są przechowywane i odczytywalne przez atakującego.
Ocena ryzyka
Atakujący może przechwycić dane osobowe i adresowe klientów, co narusza prywatność i może prowadzić do kradzieży tożsamości lub oszustw.
Rekomendacja
Zaktualizuj wtyczkę ShopEngine do wersji 4.9.3 lub nowszej, która zawiera poprawkę. Dodatkowo wdróż dodatkowe zabezpieczenia CSRF, jeśli to możliwe.
Oryginalny opis (angielski, źródło NVD)
The ShopEngine Elementor WooCommerce Builder Addon WordPress plugin before 4.9.3 does not protect one of its authentication endpoints against CSRF, allowing an attacker to log a victim into an attacker-controlled account, so that the billing and shipping details the victim then enters at checkout are stored under and readable by the attacker.