CVE-2026-3594: Ujawnienie wrażliwych danych w wtyczce Riaxe Product Customizer dla WordPress

Co wiadomo

Wtyczka Riaxe Product Customizer dla WordPress do wersji 2.4 włącznie posiada lukę umożliwiającą nieautoryzowany dostęp do danych zamówień WooCommerce poprzez endpoint REST API '/wp-json/InkXEProductDesignerLite/orders'. Endpoint nie wymaga uwierzytelnienia, co pozwala na wyciągnięcie informacji takich jak imiona i nazwiska klientów, identyfikatory zamówień oraz statusy.

Wpływ biznesowy

Ta luka może prowadzić do wycieku wrażliwych danych klientów i szczegółów zamówień, co naraża sklepy internetowe na ryzyko naruszenia prywatności i utraty zaufania klientów. Operatorzy IT powinni traktować tę podatność poważnie, gdyż może ona wpłynąć na reputację firmy oraz zgodność z regulacjami dotyczącymi ochrony danych osobowych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Riaxe Product Customizer i jej instalację. W międzyczasie warto ograniczyć dostęp do endpointu REST API, monitorować logi pod kątem nieautoryzowanych żądań oraz przeprowadzić przegląd uprawnień i konfiguracji WooCommerce. Priorytetem jest minimalizacja ekspozycji danych klientów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference