CVE-2026-14352: Luka Directory Traversal w wtyczce AR for WooCommerce dla WordPress

Co wiadomo

Wtyczka AR for WooCommerce dla WordPress do wersji 8.40 jest podatna na atak Directory Traversal poprzez parametr 'file'. Pozwala to nieautoryzowanym atakującym na odczytanie dowolnych plików na serwerze, w tym zawierających wrażliwe dane.

Wpływ biznesowy

Podatność umożliwia atakującym bez uwierzytelnienia dostęp do plików serwera, co może prowadzić do wycieku poufnych informacji i dalszych ataków na infrastrukturę IT. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka i priorytetowo podejść do jej załatania lub ograniczenia ekspozycji systemu.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki AR for WooCommerce do wersji po 8.40, jeśli dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp do krytycznych plików serwera, monitorować logi pod kątem podejrzanych żądań oraz zweryfikować konfigurację zabezpieczeń AJAX. Warto również przeprowadzić przegląd uprawnień i kluczy szyfrujących oraz stosować zasady minimalnego dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference