CVE-2026-19439
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Ultimate Gift Cards for WooCommerce w wersjach przed 3.2.10 nie sprawdza autoryzacji podczas wyświetlania szczegółów kart podarunkowych, co pozwala nieuwierzytelnionym użytkownikom pobierać karty podarunkowe powiązane z dowolnymi zamówieniami i ujawniać dane osobowe klientów, salda, daty, a w wersji 3.2.9 także aktywny kod realizacji, który każdy posiadacz może wykorzystać. Wersje od 3.0.3 do 3.2.8 ujawniają te same dane bez kodu realizacji.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dostęp do danych osobowych klientów, sald kart podarunkowych i kodów realizacji, co prowadzi do kradzieży środków i naruszenia prywatności.
Rekomendacja
Zaktualizuj wtyczkę Ultimate Gift Cards for WooCommerce do wersji 3.2.10 lub nowszej. Do czasu aktualizacji rozważ wyłączenie funkcji wyświetlania szczegółów kart podarunkowych.
Inne podatności w Ultimate Gift Cards for WooCommerce WordPress plugin
Oryginalny opis (angielski, źródło NVD)
The Ultimate Gift Cards for WooCommerce WordPress plugin before 3.2.10 does not have any authorisation check when displaying gift card details, allowing unauthenticated users to retrieve the gift cards attached to arbitrary orders and disclose customer personal data, balances, dates and, in 3.2.9, the live redemption code, which anyone holding it can spend. Versions from 3.0.3 to 3.2.8 disclose the same data without the redemption code.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS