CVE-2026-103518
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Wtyczka FluentCart dla WordPressa w wersjach do 1.7.0 włącznie jest podatna na SQL Injection poprzez parametr 'products[*].variants[*].<klucz wybrany przez atakującego>' z powodu niewystarczającego escapowania danych wejściowych. Uwierzytelniony atakujący z uprawnieniami custom-level może dopisywać zapytania SQL i wyciągać wrażliwe dane z bazy; w FluentCart Pro rola Manager sklepu również posiada uprawnienie products/edit.
Ocena ryzyka
Możliwy wyciek danych z bazy, w tym informacji o klientach i zamówieniach. W instalacjach FluentCart Pro podatność może wykorzystać użytkownik bez uprawnień administratora.
Rekomendacja
Zaktualizować wtyczkę do wersji nowszej niż 1.7.0. Ograniczyć uprawnienia products/edit oraz zweryfikować logi bazy pod kątem nietypowych zapytań.
Inne podatności w FluentCart
Zobacz wszystkie- CVE-2026-109695Wysokie
Wtyczka WordPress FluentCart (fluent-cart) w wersjach do 1.7.1 zawiera podatność polegającą na umieszczaniu poufnych informacji w wysyłanych danych, co pozwala na odzyskanie osadzonych poufnych danych.
- CVE-2026-120577Wysokie
Wtyczka FluentCart dla WordPressa jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżki pliku w funkcji deleteFile we wszystkich wersjach do 1.6.2 włącznie. Uwierzytelniony atakujący z dostępem na poziomie custom lub wyższym może usunąć dowolne pliki na serwerze.
- CVE-2026-100142Średnie
Wtyczka WordPress FluentCart przed wersją 2.2.0 nie weryfikuje, czy zapisany adres klienta wybrany podczas finalizacji zamówienia należy do osoby składającej zamówienie. Pozwala to nieuwierzytelnionym atakującym przypisać dowolny zapisany adres klienta do składanego zamówienia i odczytać go, ujawniając adresy pocztowe, numery telefonów i dane firmowe klientów.
- CVE-2026-103525Wysokie
Wtyczka FluentCart dla WordPressa (wersje do 1.7.0 włącznie) jest podatna na Insecure Direct Object Reference (IDOR) poprzez parametr 'order_id + billing_address_id (also shipping_address_id)' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Nieuwierzytelniony atakujący może odczytać i wyeksfiltrować dane adresowe rozliczeniowe i wysyłkowe innych klientów, w tym adres, miasto, stan, kod pocztowy, telefon, nazwę firmy, numer VAT i identyfikator rejestracyjny.
- CVE-2026-14926Średnie
Wtyczka FluentCart dla WordPressa przed wersją 1.4.0 nie weryfikuje, czy subskrypcja należy do żądającego klienta w kilku endpointach metod płatności. Umożliwia to uwierzytelnionemu klientowi działanie na subskrypcji innego klienta (zmianę metody płatności, anulowanie lub ponowne przypisanie) po poznaniu identyfikatora docelowej subskrypcji.
- CVE-2025-13495Średnie
Wtyczka FluentCart dla WordPressa jest podatna na wstrzyknięcie SQL poprzez parametr groupKey we wszystkich wersjach do 1.3.1 włącznie. Uwierzytelniony atakujący z poziomem dostępu administratora lub wyższym może dołączyć dodatkowe zapytania SQL, aby wyodrębnić poufne informacje z bazy danych.
Oryginalny opis (angielski, źródło NVD)
The FluentCart A New Era of eCommerce – Faster, Lighter, and Simpler plugin for WordPress is vulnerable to generic SQL Injection via the 'products[*].variants[*].<attacker-chosen key>' parameter in all versions up to, and including, 1.7.0 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with custom-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. On FluentCart Pro installs, non-administrator users assigned the Manager shop role also hold the products/edit permission and are therefore able to exploit this vulnerability without administrator-level access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS