CVE-2026-15214
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Subscriptions for WooCommerce dla WordPressa przed wersją 2.0.1 nie weryfikuje, czy żądający jest właścicielem subskrypcji przed wyświetleniem jej szczegółów, co pozwala każdemu uwierzytelnionemu klientowi na odczytanie informacji o subskrypcji innego klienta (subskrybowany produkt, status i daty) poprzez podanie jej ID.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych informacji o subskrypcjach innych klientów, co narusza prywatność i może być wykorzystane do dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę Subscriptions for WooCommerce do wersji 2.0.1 lub nowszej. Upewnij się, że kontrola własności jest przeprowadzana przed wyświetleniem szczegółów subskrypcji.
Inne podatności w Subscriptions for WooCommerce WordPress plugin
Zobacz wszystkie- CVE-2026-87856Średnie
Wtyczka WordPress Subscriptions for WooCommerce przed wersją 2.1.1 egzekwuje ograniczenia dostępu do treści członkowskich tylko na standardowych widokach stron front-endu. Nieuwierzytelnieni użytkownicy mogą odczytać pełną treść zastrzeżonych wpisów i stron innymi ścieżkami, które renderują te same treści.
- CVE-2026-15215Wysokie
Wtyczka Subscriptions for WooCommerce dla WordPressa przed wersją 2.0.1 nie weryfikuje uprawnień użytkownika przed instalacją i aktywacją wtyczki z podanego przez użytkownika slug przez akcję AJAX chronioną nonce, co pozwala użytkownikom z rolą Shop Manager (którym brakuje uprawnień do zarządzania tą wtyczką) na instalację i aktywację dowolnych wtyczek, co prowadzi do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
The Subscriptions for WooCommerce WordPress plugin before 2.0.1 does not verify that the requester owns the subscription being viewed before rendering its details, allowing any authenticated customer to read another customer's subscription information (the subscribed product, status, and dates) by supplying that subscription's ID.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS