CVE-2026-94375

WordPress üçün Order Export & Order Import for WooCommerce plagini 2.7.8 daxil olmaqla bütün versiyalarda get_file_path vasitəsilə Həssas Məlumatların Açılmasına (Sensitive Information Exposure) qarşı həssasdır. Bu, autentifikasiya olunmamış hücumçulara müştərilərin şəxsi məlumatlarını (PII) — o cümlədən adları, hesab və çatdırılma ünvanlarını, e-poçt ünvanlarını, telefon nömrələri və sifariş tərkibini — ehtiva edən ixrac edilmiş sifariş CSV fayllarını heç bir autentifikasiya olmadan birbaşa HTTP üzərindən əldə etməyə imkan verir. Bu boşluq, wp-content/webtoffee_export/ qovluğunda .htaccess və index.php qoruyucu faylları olmadıqda istismar edilə bilər; bu hal hər hansı silmə/yenidən quraşdırma dövründən, miqrasiyadan, ehtiyat nüsxənin bərpasından və ya staging sinxronizasiyasından sonra baş verə bilər, çünki ixrac kataloqu qalır, lakin onun qoruyucu faylları silinir. İxrac fayllarının adları tam deterministik saniyə dəqiqliyi olan zaman möhürü nümunəsini izləyir ki, bu da onları şübhəli ixrac pəncərəsi boyunca brute-force üsulu ilə tapmağı mümkün edir.