CVE-2026-14314

ŚrednieCVSS 5.3

Opublikowano: 06/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 06/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka PeproDev WooCommerce Receipt Uploader dla WordPressa do wersji 2.8.0 nie weryfikuje, czy żądany załącznik należy do zamówienia wskazanego przez token dostępu. Pozwala to nieuwierzytelnionym atakującym sfałszować token i ujawnić załączniki graficzne, w tym przesłane przez innych klientów potwierdzenia płatności, do których nie mają praw.

Ocena ryzyka

Atakujący może uzyskać dostęp do poufnych danych klientów, takich jak potwierdzenia płatności, co narusza prywatność i może prowadzić do oszustw.

Rekomendacja

Zaktualizuj wtyczkę PeproDev WooCommerce Receipt Uploader do najnowszej wersji, jeśli dostępna jest poprawka. Dodatkowo wdróż mechanizmy autoryzacji sprawdzające własność załączników.

Inne podatności w PeproDev WooCommerce Receipt Uploader WordPress plugin

CVE-2026-14313Średnie
Wtyczka PeproDev WooCommerce Receipt Uploader dla WordPressa (slug: pepro-bacs-receipt-upload-for-woocommerce) w wersjach do 2.8.0 włącznie jest podatna na brak autoryzacji / IDOR write (nieuwierzytelniony zapis). Wymaga WooCommerce.

Oryginalny opis (angielski, źródło NVD)

The PeproDev WooCommerce Receipt Uploader WordPress plugin through 2.8.0 does not verify that a requested attachment belongs to the order referenced by its access token, allowing unauthenticated attackers to forge a token and disclose image attachments, including other customers' uploaded payment receipts, that they do not own.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS