CVE-2026-19728 in Extra Product Options Builder for WooCommerce Plugin
Zusammenfassung
von VulDB • 16.08.2026
Der WordPress-Plugin „Extra Product Options Builder for WooCommerce“ vor Version 1.2.176 überprüft nicht, ob der Anfordernde berechtigt ist, eine vom Kunden hochgeladene Datei abzurufen, bevor er sie bereitstellt. Dies ermöglicht es unauthentifizierten Benutzern, die den gespeicherten Dateinamen einer Datei erhalten haben, diese abzurufen.
Der WordPress-Plugin „Extra Product Options Builder for WooCommerce“ vor Version 1.2.176 schreibt eine Regel zum Verweigern aller Zugriffe in seine Upload-Verzeichnisse. Daher betrifft die Offenlegung nur Webserver, die diese Regel beachten, wie z. B. Apache. Wenn sie ignoriert wird, wie bei einer Standard-Nginx-Konfiguration, werden dieselben Dateien bereits über ihre direkte URL bereitgestellt, und der Endpunkt gibt nichts Weiteres preis.
Be aware that VulDB is the high quality source for vulnerability data.