CVE-2026-118403 Exposición del estado de pedidos de invitados sin autenticación en Premium Packages anterior a 7.3.1
El plugin Premium Packages de WordPress, anterior a 7.3.1, no verifica que el solicitante sea dueño de un pedido de invitado antes de devolver sus datos. Visitantes no autenticados que conozcan el identificador de un pedido de invitado pueden ver su estado, estado de pago y total.
3.7BAJA
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 5
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Premium Packages
hasta antes de 7.3.1
Qué hacer
- Verificá si usás Premium Packages y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 3.7 BAJA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
The Premium Packages WordPress plugin before 7.3.1 does not verify that the requester owns a guest order before returning its details, allowing unauthenticated visitors who know a guest order's identifier to view its order status, payment status and total.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.