CVE-2026-12654
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Wtyczka Payment Plugins for Stripe WooCommerce dla WordPressa do wersji 4.0.7 włącznie nie weryfikuje poprawnie uprawnień użytkownika. Niezautoryzowany atakujący może oznaczyć dowolne oczekujące zamówienie WooCommerce jako opłacone, fałszując zdarzenie charge.pending z kontrolowanymi danymi, co prowadzi do wywołania payment_complete() i realizacji zamówienia. Luka jest wykorzystywalna tylko gdy pole webhook_secret_test lub webhook_secret_live pozostawiono puste (domyślnie).
Ocena ryzyka
Organizacja narażona jest na nieautoryzowane realizowanie zamówień bez faktycznej płatności, co może prowadzić do strat finansowych i nadużyć.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę do najnowszej wersji oraz skonfigurować webhook_secret (whsec_) w ustawieniach Stripe, aby włączyć weryfikację podpisu.
Inne podatności w Payment Plugins for Stripe WooCommerce
Zobacz wszystkie- CVE-2026-89100Średnie
Wtyczka Payment Plugins for Stripe WooCommerce dla WordPressa jest podatna na Reflected Cross-Site Scripting poprzez fragment URL '#response' we wszystkich wersjach do 4.0.17 włącznie, z powodu niewystarczającej dezynfekcji danych wejściowych i braku odpowiedniego escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga, aby ustawienie 'Generic Errors' było odznaczone, co powoduje, że funkcja getErrorMessage() zwraca niezmieniony surowy ciąg błędu Stripe zamiast podstawić zmapowany bezpieczny komunikat.
- CVE-2026-80339Średnie
Wtyczka Payment Plugins for Stripe WooCommerce przed wersją 4.0.12 nie weryfikuje klucza zamówienia przed dodaniem danych zamówienia do konfiguracji JavaScript wyświetlanej na froncie. Pozwala to nieuwierzytelnionym użytkownikom uzyskać dane rozliczeniowe dowolnego zamówienia oraz sekret kontrolujący dostęp do niego, poprzez iterację sekwencyjnych identyfikatorów zamówień.
Oryginalny opis (angielski, źródło NVD)
The Payment Plugins for Stripe WooCommerce plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 4.0.7. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to mark arbitrary pending asynchronous WooCommerce orders as paid by forging a charge.pending event with attacker-controlled metadata.order_id, metadata.gateway_id, and a charge object carrying status=succeeded and captured=true, triggering payment_complete() and downstream fulfillment flows with an attacker-supplied transaction ID. Exploitation requires the merchant to have left the webhook_secret_test or webhook_secret_live option blank, which is the plugin's default state until a Stripe-issued whsec_ value is manually configured; once a non-empty secret is set, the signature verification cannot be bypassed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS