CVE-2026-103379 Exposición de información de pedidos en WATI Chat and Notification
El plugin WATI Chat and Notification para WordPress hasta la versión 1.1.8 no exige un secreto válido en un endpoint público que devuelve el token de API almacenado. Un atacante no autenticado puede usar ese token en un segundo endpoint público para obtener la URL de pedido recibido de cualquier pedido de WooCommerce y leer nombre, dirección, teléfono y correo del cliente. Los endpoints están accesibles en el estado por defecto y solo se cierran al conectar una cuenta de WATI.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 10
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
WATI Chat and Notification
hasta 1.1.8
Qué hacer
- Verificá si usás WATI Chat and Notification y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
The WATI Chat and Notification WordPress plugin through 1.1.8 does not require a valid, non-empty secret on a public endpoint that returns its stored API token, which an unauthenticated attacker can then present to a second public endpoint to obtain the order-received URL of any WooCommerce order and read the customer's name, address, phone number and email address. The endpoints are reachable in the WATI Chat and Notification WordPress plugin through 1.1.8's default state and are closed only once a WATI account is connected.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.