CVE-2026-15019 in Direct Download for WooCommerce Plugin
要約
〜によって VulDB • 2026年09月10日
WordPress用プラグイン「Direct Download for WooCommerce」の全バージョン（1.19まで）には、ディレクトリトラバーサルの脆弱性が存在します。これは (top-level include) 関数を通じて悪用可能です。これにより、認証されていない攻撃者がサーバー上の任意のファイルの内容を読み取ることが可能になり、機密情報が含まれている可能性があります。製品所有権の確認処理は、サイト上に無料かつ仮想でダウンロード可能な商品が1つでも存在することのみを検証しており、要求されたファイルパスがその商品の設定済みダウンロードに属しているかどうかまでは確認しないため、少なくとも1つの該当商品を保有するWooCommerceサイトであればどのサイトでも攻撃が可能となります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.