5.4
Moyenne
CVE-2026-118407 Premium Packages < 7.3.1 - Subscriber+ Guest Order Takeover
Description
The Premium Packages WordPress plugin before 7.3.1 does not verify that a user claiming a guest order is the original buyer, allowing any authenticated user to take ownership of any unclaimed guest order, and thereby read the buyer's billing details and download their purchased files, by supplying only the order identifier.
Détail CVSS 3.1
Vecteur CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:NExploitable à distance par le réseau, avec un compte ordinaire et sans action d’un utilisateur ; l’impact sur les données ou le service reste limité.
- Vecteur d’attaque
- Réseau
- Complexité
- Faible
- Privilèges requis
- Faibles
- Interaction
- Aucune
- Portée
- Inchangée
- Confidentialité
- Faible
- Intégrité
- Faible
- Disponibilité
- Aucun
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| Premium Packages 7.3 | premières → < 7.3.1 | 7.3.1 |
Autres CVE de Premium Packages
Les 6 CVE de Premium Packages →
CVE-2026-118404
Premium Packages < 7.3.1 - Unauthenticated Cross-User Saved Cart Disclosure via IDOR
5.3
Moyenne
CVE-2026-118403
Premium Packages < 7.3.1 - Unauthenticated Guest Order Status Disclosure
3.7
Faible
CVE-2026-118184
The Premium Packages WordPress plugin before 7.2.2 does not prevent unauthenticated visitors from overwriting the…
5.3
Moyenne
CVE-2026-93511
The Premium Packages WordPress plugin before 7.2.1 does not verify PayPal's webhook signature before processing payment…
5.3
Moyenne