CVE-2026-92436
Niskie ryzyko· EPSS 6%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Mailchimp for WooCommerce przed wersją 6.3 nie wymaga uwierzytelnienia ani weryfikacji własności przy wczytywaniu zapisanego koszyka na podstawie identyfikatora pochodzącego z adresu e-mail klienta. Nieuwierzytelniony atakujący znający adres e-mail klienta może potwierdzić, że klient robi zakupy w sklepie, oraz odczytać zawartość jego zapisanego koszyka.
Ocena ryzyka
Ujawnienie informacji o klientach sklepu oraz zawartości ich koszyków bez logowania. Może to naruszyć prywatność klientów i stanowić wyciek danych.
Rekomendacja
Zaktualizuj wtyczkę Mailchimp for WooCommerce do wersji 6.3 lub nowszej. Do czasu aktualizacji rozważ ograniczenie dostępu do funkcji zapisanego koszyka.
Inne podatności w Mailchimp for WooCommerce
Zobacz wszystkie- CVE-2026-92435Średnie
Wtyczka Mailchimp for WooCommerce dla WordPressa przed wersją 6.1.1 nie weryfikuje, czy żądający użytkownik ma wymagane uprawnienia w callbacku uprawnień dla kilku tras REST API. Pozwala to nieuwierzytelnionym użytkownikom na dostęp do endpointów przeznaczonych dla administratorów i wywołanie trwałej zmiany stanu.
- CVE-2026-73346Wysokie
Podatność na wstrzyknięcie SQL z uprawnieniami administratora w MailChimp For WooCommerce w wersjach starszych niż 6.2.
Oryginalny opis (angielski, źródło NVD)
The Mailchimp for WooCommerce WordPress plugin before 6.3 does not require authentication or verify ownership before loading a saved cart from a request-supplied identifier that is derived from a customer's email address, allowing an unauthenticated attacker who knows a customer's email address to confirm that the customer shops at the store and to read that customer's saved cart contents.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS