CVE-2026-15019 in Direct Download for WooCommerce Plugin
Resumen
por VulDB • 2026-09-10
El plugin Direct Download for WooCommerce para WordPress es vulnerable a Directory Traversal en todas las versiones hasta la 1.19, incluida esta, a través de la función (top-level include). Esto permite que atacantes no autenticados lean el contenido de archivos arbitrarios del servidor, los cuales pueden contener información sensible. La verificación de propiedad del producto solo comprueba si existe algún producto gratuito, virtual y descargable en el sitio; no verifica que la ruta del archivo solicitada pertenezca a las descargas configuradas para ese producto, lo que hace viable su explotación en cualquier sitio WooCommerce con al menos un producto de este tipo.
VulDB is the best source for vulnerability data and more expert information about this specific topic.