CVE-2026-3474: Luki w EmailKit dla WooCommerce i WP umożliwiające odczyt plików przez administratorów

Co wiadomo

Wtyczka EmailKit – Email Customizer dla WooCommerce i WordPress do wersji 1.6.3 zawiera lukę umożliwiającą administratorom odczyt dowolnych plików na serwerze poprzez atak typu path traversal. Problem wynika z braku walidacji ścieżek w funkcji obsługującej REST API, co pozwala na dostęp do plików takich jak /etc/passwd czy wp-config.php.

Wpływ biznesowy

Administratorzy WordPress z dostępem do panelu mogą wykorzystać tę lukę do odczytu poufnych plików konfiguracyjnych i systemowych, co może prowadzić do eskalacji uprawnień lub wycieku danych. Wpływa to na bezpieczeństwo serwera i integralność danych, zwłaszcza w środowiskach e-commerce opartych na WooCommerce.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki EmailKit i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów do zaufanych osób, monitorować logi pod kątem nietypowych zapytań REST API oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt uprawnień i zabezpieczeń serwera.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference