CVE-2026-8611: Luka wtyczki Klamra Paycal dla WordPress umożliwiająca nieautoryzowany dostęp do faktur klientów

Co wiadomo

Wtyczka Klamra Paycal dla Aspaclaria w WordPress do wersji 1.1.4 posiada lukę typu Insecure Direct Object Reference w parametrze 'invoice_id', co pozwala uwierzytelnionym użytkownikom z poziomem subskrybenta i wyżej na pobieranie faktur innych klientów poprzez enumerację identyfikatorów postów. W wyniku tego dochodzi do ujawnienia wrażliwych danych osobowych i informacji rozliczeniowych.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą uzyskać dostęp do prywatnych danych klientów, takich jak pełne imię i nazwisko, adres e-mail, numer telefonu, suma zamówienia, szczegóły pozycji oraz notatki klienta. Może to prowadzić do naruszenia prywatności, utraty zaufania klientów oraz potencjalnych konsekwencji prawnych związanych z ochroną danych osobowych.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Klamra Paycal do wersji po 1.1.4, jeśli dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp do funkcji pobierania faktur tylko do zaufanych użytkowników oraz monitorować logi pod kątem nietypowych żądań związanych z parametrem 'invoice_id'. Warto również przeprowadzić przegląd uprawnień użytkowników i rozważyć wdrożenie dodatkowych mechanizmów kontroli dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference