CVE-2026-78371

ŚrednieCVSS 5.9

Opublikowano: 05/10/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 05/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka File Uploads Addon for WooCommerce dla WordPressa przed wersją 1.7.6 nie weryfikuje, czy osoba żądająca pliku przesłanego przez klienta jest tym klientem. Pozwala to nieuwierzytelnionym atakującym, którzy znają lub zgadną nazwę pliku, na pobieranie plików innych klientów.

Ocena ryzyka

Atakujący może uzyskać dostęp do poufnych plików innych klientów, co może prowadzić do wycieku danych osobowych lub wrażliwych informacji.

Rekomendacja

Zaktualizuj wtyczkę File Uploads Addon for WooCommerce do wersji 1.7.6 lub nowszej, która zawiera poprawki zabezpieczeń. Dodatkowo wdróż mechanizmy autoryzacji dostępu do plików.

Inne podatności w File Uploads Addon for WooCommerce

CVE-2026-13607Średnie
Wtyczka File Uploads Addon for WooCommerce dla WordPressa do wersji 1.7.6 przechowuje pliki przesłane przez klientów w publicznie dostępnym katalogu uploads, a wygenerowane ograniczenie dostępu jest nieskuteczne. Nieuwierzytelniony atakujący, który zna lub zgadnie nazwę pliku, może pobrać pliki klientów bezpośrednio, omijając mechanizm uwierzytelnionego pobierania.

Oryginalny opis (angielski, źródło NVD)

The File Uploads Addon for WooCommerce WordPress plugin before 1.7.6 does not verify that the person requesting a customer-uploaded file is the customer who uploaded it, allowing unauthenticated attackers who know or guess a file's name to download other customers' uploaded files.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS