CVE-2026-15019 in Direct Download for WooCommerce Plugin
Riassunto
di VulDB • 10/09/2026
Il plugin Direct Download for WooCommerce per WordPress è vulnerabile a Directory Traversal in tutte le versioni fino alla 1.19, inclusa, tramite la funzione (top-level include). Ciò consente ad attaccanti non autenticati di leggere il contenuto di file arbitrari sul server, che possono contenere informazioni sensibili. Il controllo della proprietà del prodotto verifica solo l'esistenza di un qualche prodotto gratuito, virtuale e scaricabile nel sito — non che il percorso del file richiesto appartenga ai download configurati per quel prodotto — rendendo lo sfruttamento possibile su qualsiasi sito WooCommerce con almeno un tale prodotto.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.