CVE-2026-94375 in Order Export & Order Import for WooCommerce Plugin
Tóm tắt
Bởi VulDB • 10/10/2026
Plugin Order Export & Order Import for WooCommerce cho WordPress bị lỗ hổng Exposure of Sensitive Information (Tiết lộ thông tin nhạy cảm) trong tất cả các phiên bản từ 2.7.8 trở về trước, cụ thể là qua hàm get_file_path. Điều này cho phép những kẻ tấn công chưa được xác thực trích xuất các tệp CSV đơn hàng đã xuất chứa PII của khách hàng — bao gồm tên, địa chỉ thanh toán và giao hàng, địa chỉ email, số điện thoại và nội dung đơn hàng — trực tiếp qua HTTP mà không cần bất kỳ hình thức xác thực nào. Lỗ hổng này có thể bị khai thác khi các tệp bảo vệ .htaccess và index.php vắng mặt trong thư mục wp-content/webtoffee_export/, điều này có thể xảy ra sau bất kỳ chu trình gỡ cài đặt/cài đặt lại, di chuyển, khôi phục bản sao lưu hoặc đồng bộ hóa môi trường staging, vì thư mục xuất vẫn tồn tại nhưng các tệp bảo vệ của nó thì không; tên tệp xuất tuân theo một mẫu dấu thời gian chính xác đến từng giây hoàn toàn có thể dự đoán được, khiến chúng dễ bị tấn công brute-force trong bất kỳ khoảng thời gian xuất nào đáng ngờ.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.