Boluwatife Opeyemi

**Nome do Software Vulnerável e Versões Afetadas** Order Export & Order Import for WooCommerce versões anteriores a 2.7.9 **Descrição** Existe um problema na função `get file path` que permite que atacantes não autenticados extraiam arquivos CSV de pedidos exportados contendo informações de identificação pessoal (PII) de clientes — incluindo nomes, endereços de cobrança e envio, endereços de e-mail, números de telefone e conteúdo dos pedidos — diretamente via HTTP. Isso ocorre quando os arquivos de guarda `.htaccess` e `index.php` estão ausentes do diretório `wp-content/webtoffee export/`, situação que pode acontecer após ciclos de desinstalação/reinstalação, migrações, restauração de backups ou sincronizações de staging. Como os nomes dos arquivos de exportação seguem um padrão de timestamp determinístico de precisão de segundo, eles podem ser descobertos por meio de ataques de força bruta dentro de uma janela de exportação suspeita. **Recomendações** Atualize para uma versão posterior à 2.7.8. Certifique-se de que os arquivos de guarda `.htaccess` e `index.php` estejam presentes no diretório `wp-content/webtoffee export/` para evitar o acesso HTTP direto aos arquivos exportados.