CVE-2026-19073
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Order Sync with Zendesk for WooCommerce dla WordPressa przed wersją 2.2.3 nie wykonuje żadnej kontroli uprawnień na jednym z punktów końcowych REST API i nie weryfikuje, czy żądający jest właścicielem konta, co pozwala nieuwierzytelnionym atakującym na pobranie historii zamówień i sum zakupów dowolnego klienta, jeśli znają lub mogą wyliczyć jego adres e-mail.
Ocena ryzyka
Atakujący może uzyskać poufne dane klientów, takie jak historia zamówień i sumy zakupów, co narusza prywatność i może być wykorzystane do dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę Order Sync with Zendesk for WooCommerce do wersji 2.2.3 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
The Order Sync with Zendesk for WooCommerce WordPress plugin before 2.2.3 does not perform any capability check on one of its REST API endpoints, and does not verify that the requester owns the account being queried, allowing unauthenticated attackers to retrieve the order history and purchase totals of any customer whose email address they know or can enumerate.