CVE-2025-13389: Nieautoryzowany dostęp do danych w wtyczce WooCommerce OrderConvo

Co wiadomo

Wtyczka Admin and Customer Messages After Order for WooCommerce: OrderConvo dla WordPress do wersji 14 włącznie posiada lukę umożliwiającą nieautoryzowany dostęp do danych. Brak sprawdzenia uprawnień w funkcji get_order_by_id() pozwala atakującym na podgląd szczegółów zamówień oraz prywatnych wiadomości między klientami a administratorami sklepu.

Wpływ biznesowy

Luka ta może prowadzić do wycieku wrażliwych informacji o zamówieniach i komunikacji klientów, co naraża sklepy internetowe na utratę zaufania klientów oraz potencjalne naruszenia prywatności. Operatorzy IT powinni traktować tę podatność jako średniego ryzyka, zwłaszcza w środowiskach z dużą liczbą zamówień i wrażliwymi danymi klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji wtyczki, monitorować logi pod kątem podejrzanych żądań oraz ograniczyć ekspozycję interfejsów API. Priorytetem jest szybka weryfikacja i załatanie luki, aby zapobiec nieautoryzowanemu dostępowi.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference