CVE-2026-8611
ŚrednieCVSS 4.3Streszczenie
Wtyczka Klamra Paycal dla Aspaclaria w WordPressie jest podatna na niebezpieczne bezpośrednie odniesienie do obiektów w wersjach do 1.1.4 włącznie, przez parametr 'invoice_id', z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie subskrybenta lub wyższym, pobieranie dowolnych faktur klientów.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do wrażliwych danych osobowych klientów, co stwarza poważne ryzyko naruszenia prywatności i bezpieczeństwa danych w organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji oraz wdrożenie dodatkowych mechanizmów walidacji dla parametrów użytkownika, aby zminimalizować ryzyko.
Oryginalny opis (angielski, źródło NVD)
The Klamra Paycal for Aspaclaria plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 1.1.4 via the 'invoice_id' parameter due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with subscriber-level access and above, to download arbitrary customer invoices by enumerating sequential post IDs, exposing sensitive billing PII including full name, email address, phone number, order total, line items, and customer notes belonging to other customers.