muradislamzada/cve-2026-93528Análise técnica, prova de conceito e cronograma de divulgação responsável para CVE-2026-93528, uma divulgação não autenticada de dados de pedidos no NP Quote Request for WooCommerce.
📌 CVE-2026-93528: Divulgação Não Autenticada de Dados de Pedidos no NP Quote Request for WooCommerce • Tipo de Vulnerabilidade: Divulgação de Dados Sensíveis (CWE-200) • Software Afetado: woo-rfq-for-woocommerce < 2.4.16 • Pesquisador Original: Murad Islamzada • Fornecedor: Neah Plugins (Cyrus)
Visão Geral e Causa Raiz A função gpls_woo_rfq_get_rfq_cart() no arquivo includes/classes/gpls_woo_rfq_functions.php do plugin não estava validando a propriedade do pedido ao verificar o parâmetro key (_REQUEST['key']) do usuário. Um usuário não autenticado poderia inserir qualquer chave de pedido e criar outro pedido.
Lógica da Prova de Conceito (PoC) Durante a pesquisa, foi determinado que informações sensíveis podiam ser obtidas por meio de uma consulta especialmente elaborada, sem exigir cookies ou login: curl -s -c cookies.txt "https://yoursite.com/quote-request/?gpls_woo_rfq_nonce=ANON_NONCE&key=VICTIM_ORDER_KEY&ukey=anything" -o response.html
Cronologia de Remediação e Colaboração O problema foi comunicado de forma responsável e resolvido com sucesso no âmbito da cooperação profissional com o desenvolvedor: • 11 de setembro de 2026: Detalhes técnicos completos da vulnerabilidade e a lógica de correção proposta foram compartilhados com o fornecedor. • 14 de setembro de 2026: O fornecedor lançou um patch inicial. No entanto, a análise do código revelou que a verificação ainda podia ser contornada em sessões de convidados, e uma lógica aprimorada (abordagem fail-closed) foi proposta. • 15 de setembro de 2026: O fornecedor aplicou as correções finais e, após uma auditoria de segurança, a vulnerabilidade foi totalmente fechada. • 15 de setembro de 2026: O desenvolvedor lançou oficialmente a versão 2.4.16 no WordPress.org.
