CVE-2026-103525
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Wtyczka FluentCart dla WordPressa (wersje do 1.7.0 włącznie) jest podatna na Insecure Direct Object Reference (IDOR) poprzez parametr 'order_id + billing_address_id (also shipping_address_id)' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Nieuwierzytelniony atakujący może odczytać i wyeksfiltrować dane adresowe rozliczeniowe i wysyłkowe innych klientów, w tym adres, miasto, stan, kod pocztowy, telefon, nazwę firmy, numer VAT i identyfikator rejestracyjny.
Ocena ryzyka
Atakujący może wyliczyć i pobrać dane osobowe wszystkich klientów, co stanowi poważny wyciek danych i naruszenie RODO. Podatność jest łatwa do wykorzystania, ponieważ identyfikatory zamówień i adresów są kolejnymi liczbami, a endpoint AJAX nie wymaga uwierzytelnienia.
Rekomendacja
Zaktualizuj wtyczkę FluentCart do wersji nowszej niż 1.7.0, gdy tylko będzie dostępna. Do czasu aktualizacji rozważ ograniczenie dostępu do endpointu AJAX lub wdrożenie dodatkowej weryfikacji uprawnień.
Inne podatności w FluentCart
Zobacz wszystkie- CVE-2026-109695Wysokie
Wtyczka WordPress FluentCart (fluent-cart) w wersjach do 1.7.1 zawiera podatność polegającą na umieszczaniu poufnych informacji w wysyłanych danych, co pozwala na odzyskanie osadzonych poufnych danych.
- CVE-2026-120577Wysokie
Wtyczka FluentCart dla WordPressa jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżki pliku w funkcji deleteFile we wszystkich wersjach do 1.6.2 włącznie. Uwierzytelniony atakujący z dostępem na poziomie custom lub wyższym może usunąć dowolne pliki na serwerze.
- CVE-2026-100142Średnie
Wtyczka WordPress FluentCart przed wersją 2.2.0 nie weryfikuje, czy zapisany adres klienta wybrany podczas finalizacji zamówienia należy do osoby składającej zamówienie. Pozwala to nieuwierzytelnionym atakującym przypisać dowolny zapisany adres klienta do składanego zamówienia i odczytać go, ujawniając adresy pocztowe, numery telefonów i dane firmowe klientów.
- CVE-2026-103518Średnie
Wtyczka FluentCart dla WordPressa w wersjach do 1.7.0 włącznie jest podatna na SQL Injection poprzez parametr 'products[*].variants[*].<klucz wybrany przez atakującego>' z powodu niewystarczającego escapowania danych wejściowych. Uwierzytelniony atakujący z uprawnieniami custom-level może dopisywać zapytania SQL i wyciągać wrażliwe dane z bazy; w FluentCart Pro rola Manager sklepu również posiada uprawnienie products/edit.
- CVE-2026-14926Średnie
Wtyczka FluentCart dla WordPressa przed wersją 1.4.0 nie weryfikuje, czy subskrypcja należy do żądającego klienta w kilku endpointach metod płatności. Umożliwia to uwierzytelnionemu klientowi działanie na subskrypcji innego klienta (zmianę metody płatności, anulowanie lub ponowne przypisanie) po poznaniu identyfikatora docelowej subskrypcji.
- CVE-2025-13495Średnie
Wtyczka FluentCart dla WordPressa jest podatna na wstrzyknięcie SQL poprzez parametr groupKey we wszystkich wersjach do 1.3.1 włącznie. Uwierzytelniony atakujący z poziomem dostępu administratora lub wyższym może dołączyć dodatkowe zapytania SQL, aby wyodrębnić poufne informacje z bazy danych.
Oryginalny opis (angielski, źródło NVD)
The FluentCart A New Era of eCommerce – Faster, Lighter, and Simpler plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 1.7.0 via the 'order_id + billing_address_id (also shipping_address_id)' parameter due to missing validation on a user controlled key. This makes it possible for unauthenticated attackers to read and exfiltrate another customer's stored billing and shipping address PII — including street address, city, state, postcode, phone number, company name, VAT number, and legal registration ID — by enumerating sequential AUTO_INCREMENT order and address ID pairs. The id-equality guard intended to restrict address reuse is bypassed because the attacker controls both halves of the compared pair, and the unauthenticated AJAX entry point imposes only a soft rate limit of 5 requests per 60 seconds rather than any authentication or ownership check.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS