CVE-2026-114196

KrytyczneCVSS 9.8

Opublikowano: 24/10/2026(UTC)Przetłumaczono: 24/10/2026(UTC)NVD NIST

Streszczenie

Wtyczka WordPress Paytium do wersji 5.0.5 jest podatna na deserializację niezaufanych danych, co umożliwia wstrzyknięcie obiektów. Może to pozwolić atakującemu na wykonanie nieautoryzowanych działań.

Ocena ryzyka

Podatność może zostać wykorzystana do wstrzyknięcia złośliwych obiektów, co może prowadzić do przejęcia kontroli nad witryną lub wykonania dowolnego kodu. Ryzyko jest wysokie, zwłaszcza jeśli wtyczka jest używana do przetwarzania płatności.

Rekomendacja

Zaktualizuj wtyczkę Paytium do wersji nowszej niż 5.0.5, która zawiera poprawkę. W międzyczasie rozważ ograniczenie dostępu do funkcji wtyczki lub jej wyłączenie.

Inne podatności w Paytium

CVE-2026-18467Krytyczne
Wtyczka Paytium: Mollie payment forms & donations dla WordPressa w wersjach do 5.0.3 włącznie jest podatna na eskalację uprawnień. Poprawka w wersji 5.0.3 dodała weryfikację podpisu dla pola pt-paytium-user-data, ale pozostawiła drugi filtr pt_cf_checkout_meta(), który kopiuje wartości z $_POST['pt_form_field'] bez weryfikacji podpisu, co pozwala nadpisać rolę użytkownika i utworzyć konto administratora.

Oryginalny opis (angielski, źródło NVD)

Deserialization of Untrusted Data vulnerability in paytiumsupport Paytium paytium allows Object Injection.This issue affects Paytium: from n/a through 5.0.5.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS