CVE-2026-109231

Wtyczka Germanized for WooCommerce dla WordPressa jest podatna na nieautoryzowany dostęp do prywatnych danych poprzez ponowne użycie tokenu aktywacyjnego w wersjach do 4.1.4 włącznie. Dzieje się tak dlatego, że hak `on_user_email_changed` — odpowiedzialny za obracanie tokena aktywacyjnego i zapisywanie znacznika oczekującej zmiany adresu e-mail na nieaktywowanym koncie Klienta — jest rejestrowany tylko w gałęzi `is_double_opt_in_login_enabled()`, gdy opcja „Wyłącz logowanie dla nieaktywowanych klientów” jest ustawiona na Tak, pozostawiając oryginalny token `?activate=` ważny i całkowicie niezwiązany z adresem e-mail, dla którego został wydany w tym momencie ustawienie to Nie. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie subskrybenta i wyższym, zmianę adresu e-mail konta na adres rozliczeniowy ofiary za pomocą standardowego formularza `/my-account/edit-account/`, a następnie wykorzystanie oryginalnego tokena aktywacyjnego za pomocą funkcji `customer_account_activate()`, uruchamiając funkcję `link_customer_past_orders()` w celu ponownego przypisania pasującego zamówienia gościa do konta atakującego i ujawnienia pierwotnego kupującego nazwa rozliczeniowa, adres pocztowy, numer telefonu i zakupione przedmioty na stronie zamówienia Moje konto osoby atakującej. Eksploatacja wymaga, aby w witrynie była włączona funkcja podwójnej zgody z opcją „Wyłącz logowanie dla nieaktywowanych klientów” ustawioną na Nie (konfiguracja inna niż domyślna), włączona publiczna rejestracja klienta i oryginalny token aktywacyjny wykorzystany w jednodniowym oknie wygaśnięcia.