CVE-2026-107630

Nome do Software Vulnerável e Versões Afetadas Email Templates Customizer and Designer for WordPress and WooCommerce versões anteriores a 1.5.15

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes não autenticados podem enumerar IDs de pedidos do WooCommerce usando o parâmetro preview order para exfiltrar informações de identificação pessoal (PII) dos clientes, incluindo nomes de faturamento, endereços, números de telefone e endereços de e-mail. O processo envolve duas requisições não autenticadas: primeiro, a obtenção de um nonce reutilizável do cabeçalho 302 Location retornado pelo manipulador admin init(), e segundo, o envio desse nonce com um ID de pedido arbitrário para o endpoint de visualização.

Recomendações Atualize o Email Templates Customizer and Designer for WordPress and WooCommerce para a versão 1.5.15 ou posterior.