Плагин WP Helper Premium WordPress до версии 4.7.6 не проверяет ключ заказа при отображении своей пользовательской страницы подтверждения заказа или при обработке связанных действий AJAX, что позволяет неаутентифицированным пользователям просматривать детали заказов других клиентов, включая личную информацию, а также изменять состояние произвольных заказов.
Для эксплуатации требуется, чтобы WooCommerce был активен, а плагин WP Helper Premium WordPress был включен до включения дополнительного модуля страницы подтверждения заказа в версии 4.7.6.
Показать оригинальное описание (EN)
The WP Helper Premium WordPress plugin before 4.7.6 does not verify the order key when rendering its custom order confirmation page or when handling the related AJAX actions, allowing unauthenticated users to view other customers' order details, including personal information, as well as change the state of arbitrary orders. Exploitation requires WooCommerce to be active and the WP Helper Premium WordPress plugin before 4.7.6's optional order confirmation page module to be enabled.