CVE-2026-114195
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka ShopMagic (shopmagic-for-woocommerce) firmy WP Desk ma podatność polegającą na wstawianiu poufnych informacji do zewnętrznie dostępnego pliku lub katalogu, co pozwala na odzyskanie osadzonych poufnych danych. Problem dotyczy wersji do 4.9.1 włącznie.
Ocena ryzyka
Osoba atakująca może uzyskać dostęp do poufnych danych, które powinny być chronione, co może prowadzić do naruszenia prywatności lub ujawnienia informacji biznesowych. Ryzyko dotyczy sklepów WooCommerce korzystających z tej wtyczki.
Rekomendacja
Zaktualizuj wtyczkę ShopMagic do najnowszej wersji dostępnej od producenta. Sprawdź, czy w katalogach publicznych nie znajdują się pliki zawierające dane wrażliwe.
Inne podatności w ShopMagic
Zobacz wszystkie- CVE-2026-103367Wysokie
Wtyczka ShopMagic – email automation dla WordPressa jest podatna na lokalne włączenie plików (LFI) we wszystkich wersjach do 4.9.0 włącznie, poprzez parametr 'billing_address.first_name'. Umożliwia to nieuwierzytelnionym atakującym włączenie i wykonanie dowolnych plików .php na serwerze, co może prowadzić do obejścia kontroli dostępu, wycieku danych lub wykonania kodu. Eksploatacja wymaga opublikowanego przepisu przetwarzającego placeholder {{ customer.first_name }} — wbudowany przepis "New Order email with social media profile links" spełnia ten warunek domyślnie, więc domyślna konfiguracja jest podatna bez konta, ciasteczka czy nonce.
- CVE-2025-69093Średnie
Wtyczka ShopMagic dla WooCommerce zawiera podatność na brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 4.7.2 włącznie.
- CVE-2025-59578Średnie
Wtyczka ShopMagic dla WooCommerce do wersji 4.5.6 włącznie wysyła wrażliwe informacje w przesyłanych danych, co pozwala na odzyskanie osadzonych danych wrażliwych.
Oryginalny opis (angielski, źródło NVD)
Insertion of Sensitive Information into Externally-Accessible File or Directory vulnerability in WP Desk ShopMagic shopmagic-for-woocommerce allows Retrieve Embedded Sensitive Data.This issue affects ShopMagic: from n/a through 4.9.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS