CVE-2026-90899

Nome do Software Vulnerável e Versões Afetadas Easy Store versões 1.0.0 through 3.0.0

Description Uma Referência Direta a Objeto Insegura (IDOR) permite que usuários não autenticados exponham Informações de Identificação Pessoal (PII). O endpoint 'checkout.searchGuestUser' permite a consulta de registros de checkout de convidados ao fornecer um endereço de e-mail. Como o servidor carece de autenticação, validação de sessão ou verificações de propriedade, ele retorna detalhes completos de envio — incluindo nome completo, número de telefone, endereço, cidade, código postal e país — da tabela # easystore guests. Um invasor pode usar listas de e-mail para enumerar clientes convidados e coletar esses dados sensíveis.

Recommendations Atualize o Easy Store para uma versão onde o endpoint de busca de convidados no servidor não autenticado tenha sido removido e a funcionalidade de preenchimento automático tenha sido migrada para o localStorage do lado do cliente.