CVE-2026-3208
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Wtyczka Mercado Pago payments for WooCommerce dla WordPressa (do wersji 8.7.11) nie sprawdza odpowiednich uprawnień w punkcie końcowym API 'mp_pix_image'. Niezalogowani atakujący mogą pobierać kody QR PIX dla dowolnych zamówień, ujawniając wrażliwe dane handlowca, takie jak klucze PIX (mogące zawierać CPF/CNPJ), kwoty transakcji, nazwę i miasto handlowca oraz referencje transakcji.
Ocena ryzyka
Ryzyko wycieku poufnych danych handlowca i klientów, co może naruszyć prywatność i być wykorzystane do oszustw.
Rekomendacja
Zaktualizuj wtyczkę Mercado Pago payments for WooCommerce do najnowszej wersji, która zawiera poprawkę sprawdzania uprawnień.
Oryginalny opis (angielski, źródło NVD)
The Mercado Pago payments for WooCommerce plugin for WordPress is vulnerable to unauthorized access of data due to a missing capability check on the 'mp_pix_image' WooCommerce API endpoint in all versions up to, and including, 8.7.11. This makes it possible for unauthenticated attackers to retrieve PIX payment QR code images for arbitrary orders. PIX QR codes contain sensitive merchant information including PIX keys (which may be CPF/CNPJ personal identifiers), transaction amounts, merchant name and city, and MercadoPago transaction references.