CVE-2026-118404
NieznaneStreszczenie
Wtyczka WordPress Premium Packages przed wersją 7.3.1 nie weryfikuje własności ani powiązania z sesją podczas ładowania zapisanego koszyka zakupowego. Umożliwia to nieuwierzytelnionemu użytkownikowi, który pozna identyfikator zapisanego koszyka innego klienta, załadowanie jego zawartości do własnej sesji.
Ocena ryzyka
Atakujący może uzyskać wgląd w zawartość koszyka innego klienta, w tym wybrane produkty, ilości oraz dane wprowadzone w polach niestandardowych.
Rekomendacja
Zaktualizuj wtyczkę Premium Packages do wersji 7.3.1 lub nowszej.
Inne podatności w Premium Packages WordPress plugin
Zobacz wszystkie- CVE-2026-118407Nieznane
Wtyczka WordPress Premium Packages przed wersją 7.3.1 nie weryfikuje, czy użytkownik przejmujący zamówienie gościa jest jego pierwotnym nabywcą. Umożliwia to każdemu zalogowanemu użytkownikowi przejęcie dowolnego nieodebranego zamówienia gościa poprzez podanie jedynie identyfikatora zamówienia.
- CVE-2026-118403Nieznane
Wtyczka WordPress Premium Packages przed wersją 7.3.1 nie weryfikuje, czy żądający jest właścicielem zamówienia gościa, przed zwróceniem jego szczegółów. Umożliwia to nieuwierzytelnionym odwiedzającym znającym identyfikator zamówienia gościa przeglądanie jego statusu, statusu płatności oraz kwoty.
Oryginalny opis (angielski, źródło NVD)
The Premium Packages WordPress plugin before 7.3.1 does not verify ownership or session binding when loading a previously saved shopping cart, allowing any unauthenticated user who obtains another shopper's saved-cart identifier to load that shopper's cart contents, including selected products, quantities and buyer-entered custom field data, into their own session.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS