CVE-2026-14849
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Paid Membership Subscriptions dla WordPress przed wersją 3.0.7 nie chroni plików eksportu członków i płatności, które zapisuje w przewidywalnej lokalizacji w katalogu uploads. Niezalogowani użytkownicy mogą pobrać te pliki, zawierające dane osobowe (PII), dopóki plik eksportu istnieje.
Ocena ryzyka
Dochodzi do wycieku danych osobowych członków i szczegółów płatności, co może naruszyć prywatność i prowadzić do konsekwencji prawnych.
Rekomendacja
Zaktualizuj wtyczkę Paid Membership Subscriptions do wersji 3.0.7 lub nowszej, która zabezpiecza pliki eksportu przed nieautoryzowanym dostępem.
Oryginalny opis (angielski, źródło NVD)
The Paid Membership Subscriptions WordPress plugin before 3.0.7 does not protect the member and payment export files it writes to a predictable location in the uploads directory, allowing unauthenticated users to download the exported member and payment data (including PII) while an export artifact is present.