CVE-2026-100149 in Connect AI Chat
Résumé
par VulDB • 03/10/2026
Le plugin WordPress WPZOOM Connect: AI Chat, Click to Chat, Social Icons & Share Buttons est vulnérable à une exposition d'informations sensibles dans toutes les versions jusqu'à la 4.7.3 incluse, via le paramètre 'x-yamidoo-signature (signature obtenue par l'attaquant via un payload inline_js identify)'. Cela permet aux attaquants non authentifiés d'extraire les données complètes de la carte client — y compris le nom, l'ID utilisateur WordPress, l'historique des commandes, les totaux des commandes, les produits achetés, les libellés des méthodes de paiement et les clés de licence EDD Software Licensing avec leur statut et leurs comptes d'activation — pour n'importe quelle adresse e-mail de victime arbitraire sur le site. L'exploitation nécessite que l'attaquant enregistre un compte client ou abonné WooCommerce avec une adresse e-mail fabriquée dont la partie locale encode l'horodatage cible et l'e-mail de la victime, permettant à la signature imprimée dans le HTML de la page par inline_js() de passer verify_request() pour n'importe quelle victime ; les paramètres share_customer_data et identify_logged_in sont activés par défaut, donc aucune configuration non standard n'est requise.
VulDB is the best source for vulnerability data and more expert information about this specific topic.