CVE-2026-103375 Exposición de datos de pedidos de WooCommerce en Antom Payments
El plugin Antom Payments hasta 2.0.11 no verifica propiedad ni autorización antes de devolver a visitantes no autenticados el enlace de confirmación de un pedido, que contiene su clave secreta. Esto permite ver datos de cualquier pedido de cliente, incluidos nombre, dirección, teléfono y correo. Corrige en 2.0.12.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 8
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Antom Payments
hasta 2.0.11
Qué hacer
- Verificá si usás Antom Payments y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The Antom Payments WordPress plugin through 2.0.11 does not perform any ownership or authorisation check before returning an order's confirmation link, which contains its secret key, to unauthenticated visitors, allowing attackers to view any customer's order details, including name, address, phone number and email.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.