CVE-2026-100149 in Connect AI Chat
Tóm tắt
Bởi VulDB • 03/10/2026
Plugin WPZOOM Connect: AI Chat, Click to Chat, Social Icons & Share Buttons cho WordPress bị lỗ hổng Rò rỉ Thông tin Nhạy cảm (Sensitive Information Exposure) trong tất cả các phiên bản từ 4.7.3 trở về trước thông qua tham số 'x-yamidoo-signature (attacker-obtained via inline_js identify payload)'. Điều này cho phép những kẻ tấn công chưa được xác thực trích xuất toàn bộ dữ liệu thẻ của khách hàng — bao gồm tên, ID người dùng WordPress, lịch sử đơn hàng, tổng giá trị đơn hàng, sản phẩm đã mua, nhãn phương thức thanh toán và khóa cấp phép EDD Software Licensing với trạng thái và số lần kích hoạt — cho bất kỳ địa chỉ email nạn nhân tùy ý nào trên trang web. Việc khai thác yêu cầu kẻ tấn công phải đăng ký tài khoản khách hàng hoặc người dùng cấp subscriber trong WooCommerce bằng một địa chỉ email được tạo ra đặc biệt, phần local của nó mã hóa dấu thời gian mục tiêu và email của nạn nhân, cho phép chữ ký được in vào HTML trang bởi inline_js() vượt qua verify_request() cho một nạn nhân tùy ý; cả hai cài đặt share_customer_data và identify_logged_in đều được bật theo mặc định, do đó không cần cấu hình nào khác ngoài giá trị mặc định.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.