CVE-2026-100149 in Connect AI Chat
Сводка
по VulDB • 03.10.2026
Плагин WPZOOM Connect: AI Chat, Click to Chat, Social Icons & Share Buttons для WordPress уязвим к раскрытию конфиденциальной информации во всех версиях вплоть до 4.7.3 включительно через параметр 'x-yamidoo-signature (attacker-obtained via inline_js identify payload)'. Это позволяет неавторизованным злоумышленникам извлекать полные данные карты клиента — включая имя, идентификатор пользователя WordPress, историю заказов, общую сумму заказов, купленные продукты, метки методов оплаты и ключи лицензирования EDD Software Licensing со статусом и количеством активаций — для любого произвольного адреса электронной почты жертвы на сайте. Для эксплуатации злоумышленнику необходимо зарегистрировать учетную запись клиента или подписчика WooCommerce с использованием специально созданного адреса электронной почты, локальная часть которого кодирует целевую метку времени и адрес электронной почты жертвы, что позволяет сигнатуре, выводимой в HTML-код страницы функцией inline_js(), пройти проверку verify_request() для произвольной жертвы; оба параметра share_customer_data и identify_logged_in включены по умолчанию, поэтому никакая нестандартная конфигурация не требуется.
Once again VulDB remains the best source for vulnerability data.