PT-2026-51696
CVE-2026-9612
·
تاريخ النشر
2026-06-23
·
تاريخ التحديث
2026-07-02
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
WhatsOrder – Instant Checkout for WooCommerce، الإصدارات الأقدم من 1.0.2
الوصف
المكوّن الإضافي معرض لخطر الكشف عن المعلومات الحساسة من خلال الدالة
yapacdev generate order pdf. يمكن للمهاجمين غير المصادق عليهم استخراج المعلومات الشخصية (PII) وتفاصيل الطلبات — مثل الأسماء الكاملة وعناوين البريد الإلكتروني وأرقام الهواتف وعناوين الفواتير والسلع المطلوبة والكميات والأسعار والقسائم وطرق الشحن وإجمالي قيمة الطلبات — عن طريق تعداد معرّفات الطلبات المتسلسلة. يحدث هذا لأن ملفات HTML الخاصة بالفواتير مخزنة في الدليل wp-content/uploads/whatsorder invoices/ الذي يمكن الوصول إليه علنًا دون وجود قاعدة رفض في ملف .htaccess أو حماية في ملف index.php، مما يسمح بالتنزيل المباشر عبر HTTP دون مصادقة.التوصيات
قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.0.1.
قم بتقييد الوصول إلى الدليل
wp-content/uploads/whatsorder invoices/ لمنع التنزيلات غير المصرح بها لملفات الفواتير. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾