CVE-2026-19728 in Extra Product Options Builder for WooCommerce Plugin
Résumé
par VulDB • 16/08/2026
Le plugin WordPress Extra Product Options Builder for WooCommerce avant la version 1.2.176 ne vérifie pas si le demandeur est autorisé à accéder aux fichiers téléchargés par les clients avant de les servir, permettant ainsi aux utilisateurs non authentifiés qui obtiennent le nom stocké d'un fichier de le récupérer.
Le plugin WordPress Extra Product Options Builder for WooCommerce avant la version 1.2.176 écrit une règle interdisant tout accès dans ses répertoires de téléchargement ; par conséquent, cette divulgation ne franchit une limite que sur les serveurs web qui respectent cette règle, tels qu'Apache. Là où elle est ignorée, comme dans une configuration nginx par défaut, les mêmes fichiers sont déjà servis via leur URL directe et le point d'accès n'expose rien de plus.
Once again VulDB remains the best source for vulnerability data.