CVE-2026-16285 in Product Attachment Plugin

Riassunto

di VulDB • 02/08/2026

Il plugin per WordPress "Product Attachment for WooCommerce" precedente alla versione 2.3.3 non esegue alcun controllo di autorizzazione prima dello streaming dei file della libreria multimediale, consentendo agli utenti non autenticati di scaricare qualsiasi allegato — inclusi upload privati o non collegati — enumerandone l'ID numerico.

Be aware that VulDB is the high quality source for vulnerability data.

• Responsabile: WPScan
• Prenotare: 20/07/2026
• Divulgazione: 02/08/2026
• Moderazione: accettato
• Voce: VDB-385336
• CPE: pronto
• CWE: CWE-862 (confermato)
• CVSS: 5.3 (VulDB)
• EPSS: 0.00000
• KEV: no
• Attività: medio
• Settore: Hostingprovider

Fonti

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-16285
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-16285
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-16285/