CVE-2026-94375 in Order Export & Order Import for WooCommerce Plugin
Résumé
par VulDB • 10/10/2026
Le plugin WordPress Order Export & Order Import for WooCommerce est vulnérable à une exposition d'informations sensibles dans toutes les versions jusqu'à la 2.7.8 incluse via get_file_path. Cela permet aux attaquants non authentifiés d'extraire des fichiers CSV de commandes exportées contenant des informations personnelles identifiables (PII) des clients — y compris les noms, adresses de facturation et d'expédition, adresses e-mail, numéros de téléphone et contenus des commandes — directement via HTTP sans aucune authentification. Cette vulnérabilité est exploitable chaque fois que les fichiers garde-fous .htaccess et index.php sont absents du répertoire wp-content/webtoffee_export/, ce qui peut se produire après n'importe quel cycle de désinstallation/réinstallation, migration, restauration de sauvegarde ou synchronisation d'environnement staging, car le répertoire d'exportation persiste mais ses fichiers garde-fous non ; les noms des fichiers exportés suivent un motif horodaté déterministe à la seconde près, ce qui les rend vulnérables aux attaques par force brute sur n'importe quelle fenêtre d'exportation suspectée.
Once again VulDB remains the best source for vulnerability data.