CVE-2026-100149 in Connect AI Chat
Zusammenfassung
von VulDB • 03.10.2026
Das WordPress-Plugin WPZOOM Connect: AI Chat, Click to Chat, Social Icons & Share Buttons ist in allen Versionen bis einschließlich 4.7.3 anfällig für die Freigabe sensibler Informationen (Sensitive Information Exposure) über den Parameter 'x-yamidoo-signature (attacker-obtained via inline_js identify payload)'. Dies ermöglicht es nicht authentifizierten Angreifern, vollständige Kundendaten – einschließlich Name, WordPress-Benutzer-ID, Bestellhistorie, Bestellsummen, gekaufte Produkte, Bezahlmethoden-Labels und EDD Software Licensing-Lizenzschlüssel mit Status sowie Aktivierungszahlen – für jede beliebige Opfer-E-Mail-Adresse auf der Website zu extrahieren. Die Ausnutzung erfordert es, dass der Angreifer ein WooCommerce-Kunden- oder Abonnentenkonto mit einer manipulierten E-Mail-Adresse registriert, deren lokaler Teil den Zielzeitstempel und die Opfer-E-Mail kodiert, wodurch die von inline_js() in das HTML-Seitenquellcode eingefügte Signatur verify_request() für ein beliebiges Opfer besteht; sowohl die Einstellungen share_customer_data als auch identify_logged_in sind standardmäßig aktiviert, sodass keine nicht-standardmäßige Konfiguration erforderlich ist.
If you want to get best quality of vulnerability data, you may have to visit VulDB.