CVE-2026-16993
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka DHL Shipping Germany dla WooCommerce przed wersją 4.0.1 nie chroni katalogu przechowywania etykiet wysyłkowych za pomocą kontroli dostępu niezależnej od serwera, polegając wyłącznie na pliku .htaccess Apache. Na serwerach nie honorujących .htaccess (np. nginx) nieuwierzytelniony odwiedzający może pobrać zapisane etykiety (zawierające imię i adres klienta), żądając przewidywalnych nazw plików.
Ocena ryzyka
Ujawnienie danych osobowych klientów (imię i adres) może naruszyć przepisy o ochronie danych i zaszkodzić reputacji firmy.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 4.0.1 lub nowszej oraz wdrożenie dodatkowych mechanizmów kontroli dostępu niezależnych od serwera.
Oryginalny opis (angielski, źródło NVD)
The DHL Shipping Germany for WooCommerce WordPress plugin before 4.0.1 does not protect its shipping-label storage directory with server-independent access control, relying only on an Apache .htaccess file, so on a web server that does not honor .htaccess (such as nginx) an unauthenticated visitor can download stored shipping labels (each containing a customer's name and postal address) by requesting predictable filenames.