CVE-2026-118407: fallo de gravedad media en Premium Packages
Premium Packages < 7.3.1 - Subscriber+ Guest Order Takeover
Publicada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
33Vexday Risk Score
Sin señal de explotación. Ella tiene prueba de concepto pública.
ssvc Attendcvss 5.4epss 0.1%
The Premium Packages WordPress plugin before 7.3.1 does not verify that a user claiming a guest order is the original buyer, allowing any authenticated user to take ownership of any unclaimed guest order, and thereby read the buyer's billing details and download their purchased files, by supplying only the order identifier.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
Productos afectados
Unknown · Premium PackagesPoCs públicas encontradas — 1
cve_referencewpscan.com/vulnerability/541a09e1-e11d-4a17-94cb-4d5e2664bdf1/no verificado⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Premium Packages
En el mismo producto, de las más peligrosas a las menos.
CVE-2026-93511MEDIUMPremium Packages < 7.2.1 - Unauthenticated PayPal Webhook Signature Verification BypassEPSS 0.3%CVE-2026-19711MEDIUMPremium Packages – Sell Digital Products Securely < 7.0.7 - Subscriber+ Arbitrary Amount Withdrawal RequestEPSS 0.3%CVE-2026-118184MEDIUMPremium Packages < 7.2.2 - Unauthenticated Order Total ManipulationEPSS 0.2%CVE-2026-118404MEDIUMPremium Packages < 7.3.1 - Unauthenticated Cross-User Saved Cart Disclosure via IDOREPSS 0.1%CVE-2026-118403LOWPremium Packages < 7.3.1 - Unauthenticated Guest Order Status DisclosureEPSS 0.1%