CVE-2026-94375
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Order Export & Order Import dla WooCommerce jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 2.7.8 włącznie. Nieuwierzytelnieni atakujący mogą pobrać wyeksportowane pliki CSV z zamówieniami zawierające dane osobowe klientów, jeśli w katalogu eksportu brakuje plików .htaccess i index.php.
Ocena ryzyka
Ryzyko obejmuje wyciek danych osobowych klientów, takich jak imiona, adresy, e-maile, numery telefonów i zawartość zamówień, co może prowadzić do naruszenia prywatności i konsekwencji prawnych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki oraz upewnienie się, że pliki .htaccess i index.php są obecne w katalogu eksportu. Należy również zabezpieczyć katalog eksportu przed bezpośrednim dostępem.
Inne podatności w Order Export & Order Import for WooCommerce
Oryginalny opis (angielski, źródło NVD)
The Order Export & Order Import for WooCommerce plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 2.7.8 via the get_file_path. This makes it possible for unauthenticated attackers to extract download exported order CSV files containing customer PII — including names, billing and shipping addresses, email addresses, phone numbers, and order contents — directly over HTTP with no authentication. This is exploitable whenever the .htaccess and index.php guard files are absent from wp-content/webtoffee_export/, which can occur after any uninstall/reinstall cycle, migration, backup restore, or staging sync, since the export directory persists but its guard files do not; export filenames follow a fully deterministic second-precision timestamp pattern, making them brute-forceable across any suspected export window.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS