CVE-2026-100149 in Connect AI Chat
要約
〜によって VulDB • 2026年10月03日
WordPress用プラグイン「WPZOOM Connect: AI Chat, Click to Chat, Social Icons & Share Buttons」には、4.7.3以前の全バージョンにおいて機微な情報の漏洩（Sensitive Information Exposure）の脆弱性があります。この脆弱性は、「x-yamidoo-signature (攻撃者が inline_js 識別ペイロードを通じて取得可能)」パラメータを介して発生します。これにより、認証されていない攻撃者は、サイト上の任意の被害者メールアドレスに対して、氏名、WordPressユーザーID、注文履歴、注文合計額、購入製品、支払い方法ラベル、およびステータスとアクティベーション数を含むEDD Software Licensingライセンスキーなど、顧客カード全体の情報を抽出することが可能になります。
悪用には、攻撃者がターゲットのタイムスタンプと被害者メールアドレスをエンコードしたローカルパートを持つ作成済み（crafted）メールアドレスを使用して、WooCommerceのカスタマーまたはサブスクライバレベルのアカウントに登録する必要があります。これにより、inline_js()関数によってページHTMLに出力される署名が、任意の被害者に対して verify_request() の検証を通過するようになります。また、「share_customer_data」と「identify_logged_in」の設定はデフォルトで有効になっているため、非標準的な設定変更は必要ありません。
If you want to get best quality of vulnerability data, you may have to visit VulDB.