CVE-2026-10865
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Wtyczka Cost Calculator Builder dla WordPressa do wersji 4.0.11 włącznie ujawnia wrażliwe dane uwierzytelniające do bramek płatności (Stripe, Razorpay, PayPal) w kodzie źródłowym strony. Niezautoryzowany atakujący może wyodrębnić te dane, gdy opcja 'użyj we wszystkich kalkulatorach' jest włączona dla co najmniej jednej bramki płatności.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia przez atakującego pełnej kontroli nad kontami bramek płatnościowych sprzedawcy, co może prowadzić do kradzieży środków, nieautoryzowanych transakcji i utraty zaufania klientów.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Cost Calculator Builder do najnowszej dostępnej wersji oraz wyłączyć opcję 'użyj we wszystkich kalkulatorach' dla bramek płatności, jeśli nie jest niezbędna. Dodatkowo, należy zresetować i wygenerować nowe klucze tajne dla Stripe, Razorpay i PayPal.
Inne podatności w Cost Calculator Builder
Zobacz wszystkie- CVE-2026-7753Średnie
Wtyczka Cost Calculator Builder dla WordPressa do wersji 3.6.17 włącznie jest podatna na nieautoryzowany dostęp do wrażliwych danych z powodu braku sprawdzenia uprawnień w akcji AJAX `cost-calculator-custom-export-run`. Obsługa weryfikuje tylko nonce, które jest dostępne na każdej stronie wp-admin, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta na eksport pełnej konfiguracji kalkulatorów, w tym kluczy tajnych Stripe, PayPal, Razorpay, webhook i reCAPTCHA.
- CVE-2025-14755Średnie
Wtyczka Cost Calculator Builder dla WordPress (do wersji 4.0.1 włącznie) w połączeniu z wersją PRO jest podatna na nieautoryzowaną manipulację ceną i niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Atakujący bez logowania może dodać produkty WooCommerce do koszyka z dowolnie ustawioną ceną.
Oryginalny opis (angielski, źródło NVD)
The Cost Calculator Builder plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 4.0.11 via the (template body). This makes it possible for unauthenticated attackers to extract the plaintext Stripe secret key, Razorpay secret key, and PayPal client_secret embedded in the page source of any page containing a calculator, enabling full control of the merchant's payment gateway accounts. This exposure only occurs when the 'use in all calculators' option is enabled for one or more payment gateways in the plugin's global settings.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS