muradislamzada/cve-2026-93528Технический анализ, proof of concept и график ответственного раскрытия для CVE-2026-93528 — неаутентифицированное раскрытие данных заказов в NP Quote Request for WooCommerce.
📌 CVE-2026-93528: Неавторизованное раскрытие данных заказов в NP Quote Request for WooCommerce • Тип уязвимости: Раскрытие конфиденциальных данных (CWE-200) • Затронутое ПО: woo-rfq-for-woocommerce < 2.4.16 • Первоначальный исследователь: Murad Islamzada • Производитель: Neah Plugins (Cyrus)
Обзор и первопричина Функция gpls_woo_rfq_get_rfq_cart() в файле плагина includes/classes/gpls_woo_rfq_functions.php не проверяла принадлежность заказа при проверке параметра key (_REQUEST['key']) от пользователя. Неавторизованный пользователь мог ввести любой ключ заказа и создать другой заказ.
Логика Proof of Concept (PoC) В ходе исследования было установлено, что конфиденциальную информацию можно получить с помощью специально сформированного запроса без необходимости использования cookies или входа в систему: curl -s -c cookies.txt "https://yoursite.com/quote-request/?gpls_woo_rfq_nonce=ANON_NONCE&key=VICTIM_ORDER_KEY&ukey=anything" -o response.html
Хронология устранения и сотрудничества Проблема была ответственно передана и успешно решена в рамках профессионального сотрудничества с разработчиком: • 11 сентября 2026 г.: Разработчику были переданы полные технические детали уязвимости и предложенная логика исправления. • 14 сентября 2026 г.: Разработчик выпустил первоначальный патч. Однако анализ кода показал, что проверку всё ещё можно обойти в гостевых сессиях, и была предложена улучшенная логика (подход fail-closed). • 15 сентября 2026 г.: Разработчик применил окончательные исправления, и после аудита безопасности уязвимость была полностью закрыта. • 15 сентября 2026 г.: Разработчик официально выпустил версию 2.4.16 на WordPress.org.
