CVE-2025-2942: luka wtyczki Order Delivery Date dla WooCommerce ujawniająca tytuły postów

Co wiadomo

Wtyczka Order Delivery Date dla WooCommerce w wersjach przed 12.6.0 umożliwia nieautoryzowany dostęp do tytułów postów, w tym szkiców i postów prywatnych, poprzez niezabezpieczone wywołanie AJAX. Atakujący mogą w ten sposób pozyskać poufne informacje o zawartości strony.

Wpływ biznesowy

Dla operatorów stron opartych na WordPress z wtyczką Order Delivery Date istnieje ryzyko wycieku informacji o treści nieopublikowanych lub prywatnych postów, co może prowadzić do naruszenia poufności danych i osłabienia zaufania użytkowników. Choć luka ma umiarkowany poziom zagrożenia, warto ją szybko zaadresować, aby zapobiec potencjalnym nadużyciom.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Order Delivery Date i wdrożenie najnowszej wersji 12.6.0 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do funkcji AJAX oraz monitorować logi serwera pod kątem podejrzanych wywołań. Priorytetowo należy ocenić ekspozycję wtyczki i wprowadzić odpowiednie zabezpieczenia.

Źródła

• NVD
• Reference