CVE-2026-19709
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Membership For WooCommerce dla WordPressa przed wersją 3.1.2 nie sprawdza, czy sekret klienta API został faktycznie wygenerowany, zanim porówna go z tym dostarczonym w żądaniu. Pozwala to nieuwierzytelnionym atakującym na dotarcie do tras REST i ujawnienie szczegółów planów członkowskich dowolnego użytkownika na stronach, gdzie API jest włączone, ale nie wygenerowano żadnych kluczy.
Ocena ryzyka
Ujawnienie szczegółów planów członkowskich użytkowników może naruszyć prywatność i umożliwić ataki socjotechniczne.
Rekomendacja
Zaktualizuj wtyczkę Membership For WooCommerce do wersji 3.1.2 lub nowszej. Upewnij się, że klucze API są generowane i bezpiecznie przechowywane.
Oryginalny opis (angielski, źródło NVD)
The Membership For WooCommerce WordPress plugin before 3.1.2 does not check that an API consumer secret has actually been generated before comparing it against the one supplied in a request, allowing unauthenticated attackers to reach its REST routes and disclose any user's membership plan details on sites where the API has been enabled but no keys were ever generated.