CVE-2026-94375

Nome do Software Vulnerável e Versões Afetadas Order Export & Order Import for WooCommerce versões anteriores a 2.7.9

Descrição Existe um problema na função get file path que permite que atacantes não autenticados extraiam arquivos CSV de pedidos exportados contendo informações de identificação pessoal (PII) de clientes — incluindo nomes, endereços de cobrança e envio, endereços de e-mail, números de telefone e conteúdo dos pedidos — diretamente via HTTP. Isso ocorre quando os arquivos de guarda .htaccess e index.php estão ausentes do diretório wp-content/webtoffee export/, situação que pode acontecer após ciclos de desinstalação/reinstalação, migrações, restauração de backups ou sincronizações de staging. Como os nomes dos arquivos de exportação seguem um padrão de timestamp determinístico de precisão de segundo, eles podem ser descobertos por meio de ataques de força bruta dentro de uma janela de exportação suspeita.

Recomendações Atualize para uma versão posterior à 2.7.8. Certifique-se de que os arquivos de guarda .htaccess e index.php estejam presentes no diretório wp-content/webtoffee export/ para evitar o acesso HTTP direto aos arquivos exportados.