CVE-2026-120538
WysokieCVSS 8.1Streszczenie
Wtyczka Easy Digital Downloads dla WordPressa jest podatna na obejście uwierzytelniania prowadzące do przejęcia konta administratora we wszystkich wersjach do 3.7.2 włącznie. Podczas gościnnej realizacji zamówienia PayPal adres e-mail wprowadzony w polu gościa jest traktowany jako dowód tożsamości, co pozwala nieuwierzytelnionemu atakującemu na uzyskanie sesji jako administrator.
Ocena ryzyka
Nieuwierzytelniony atakujący może przejąć pełną kontrolę nad kontem administratora, co prowadzi do całkowitego przejęcia witryny. Wymaga to użycia adresu e-mail administratora bez istniejącego rekordu klienta EDD.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 3.7.2. Do czasu aktualizacji rozważ wyłączenie gościnnej realizacji zamówień PayPal lub wdrożenie dodatkowych weryfikacji.
Inne podatności w Easy Digital Downloads
Zobacz wszystkie- CVE-2026-116403Średnie
Wtyczka Easy Digital Downloads do WordPressa (do wersji 3.7.1) zawiera podatność typu race condition wynikającą z nieprawidłowej synchronizacji współdzielonych zasobów. Może to prowadzić do wykorzystania warunków wyścigu przez atakującego.
- CVE-2026-14335Wysokie
Wtyczka Easy Digital Downloads dla WordPressa do wersji 3.6.9 włącznie jest podatna na Stored Cross-Site Scripting (XSS) poprzez parametry PayPal IPN. Brak odpowiedniej sanityzacji wejścia i escape'owania wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2026-105190Średnie
Wtyczka WordPress Easy Digital Downloads przed wersją 3.7.1 nie sprawdza ustawienia rejestracji użytkowników w witrynie przed utworzeniem konta WordPress. Umożliwia to nieuwierzytelnionym użytkownikom utworzenie konta i uzyskanie zalogowanej sesji, nawet gdy rejestracja jest wyłączona. Utworzone konto otrzymuje domyślną rolę witryny.
- CVE-2026-105194Średnie
Wtyczka WordPress Easy Digital Downloads przed wersją 3.7.1 nie ogranicza danych zamówienia bloku do bieżącego użytkownika. Użytkownicy z poziomem subskrybenta mogą przeglądać produkty z ostatnich zamówień innych klientów i uzyskiwać podpisane linki do pobrania, które dają dostęp do płatnych plików cyfrowych bez zakupu.
- CVE-2026-42638Wysokie
Brak autoryzacji w Easy Digital Downloads (wtyczka WordPress) pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 3.7.1 włącznie.
- CVE-2026-95522Wysokie
Wtyczka Easy Digital Downloads w wersjach do 3.7.0 włącznie zawiera podatność SQL Injection dostępną dla użytkowników z rolą Shop manager. Umożliwia to wstrzyknięcie złośliwego kodu SQL do zapytań bazy danych.
- CVE-2026-12476Wysokie
Wtyczka Easy Digital Downloads dla WordPress do wersji 3.6.9 umożliwia dowolne przesyłanie plików. Funkcja `edd_do_ajax_import_file_upload()` sprawdza tylko nagłówek Content-Type dostarczony przez klienta, a następnie zapisuje plik z oryginalnym rozszerzeniem do katalogu web-accessible. Uwierzytelnieni atakujący z dostępem Shop Managera mogą przesłać dowolny plik, co może umożliwić zdalne wykonanie kodu.
- CVE-2026-66476Średnie
Wtyczka Easy Digital Downloads do wersji 3.6.9 umożliwia administratorowi dowolne usuwanie plików.
- CVE-2026-59524Średnie
Wtyczka Easy Digital Downloads w wersji 3.6.7 i starszych zawiera podatność na złamanie uwierzytelniania bez wymaganego logowania. Atakujący może uzyskać nieautoryzowany dostęp do funkcji administracyjnych.
- CVE-2026-39503Wysokie
Wersje Easy Digital Downloads do 3.6.5 zawierają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp do zasobów.
Oryginalny opis (angielski, źródło NVD)
The Easy Digital Downloads plugin for WordPress is vulnerable to authentication bypass leading to administrator account takeover in all versions up to, and including, 3.7.2. During a PayPal guest checkout, the email address entered in the guest-checkout field is trusted as proof of identity: edd_get_purchase_form_user() binds the new guest order to an existing WordPress user purely on an email-address match, rewriting the order's user_id to that user's ID. The PayPal capture sink PurchaseUser::maybe_log_in_after_capture() then looked the user up by the order email (get_user_by( 'email', $order->email )) and, when $order->user_id equalled that user's ID (which the email-binding step guarantees), issued an authenticated session with wp_set_auth_cookie(). An unauthenticated attacker who starts a guest checkout using an administrator's email address (where that administrator has no existing EDD customer record) and completes the PayPal purchase flow therefore receives an authenticated session as that administrator — a full account takeover. The same sink is reachable through the standard PayPal checkout and the REST UnbrandedCard and Fastlane flows.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS