CVE-2026-12972
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka PayPlus Payment Gateway dla WordPressa przed wersją 8.2.2 nie weryfikuje autoryzacji ani własności zamówienia w jednym z endpointów AJAX dostępnych dla niezalogowanych użytkowników. Pozwala to na manipulację metadanymi płatności dowolnych zamówień WooCommerce.
Ocena ryzyka
Atakujący może zmieniać dane płatności w zamówieniach innych klientów, co może prowadzić do nieautoryzowanych transakcji lub oszustw finansowych.
Rekomendacja
Zaktualizuj wtyczkę PayPlus Payment Gateway do wersji 8.2.2 lub nowszej.
Inne podatności w PayPlus Payment Gateway
Zobacz wszystkie- CVE-2026-93620Średnie
Wtyczka PayPlus Payment Gateway w wersjach do 8.2.5 zawiera podatność typu Broken Access Control, która pozwala nieuwierzytelnionemu atakującemu na obejście mechanizmów kontroli dostępu. Brak odpowiedniej weryfikacji uprawnień umożliwia wykonanie operacji zastrzeżonych dla uprawnionych użytkowników.
- CVE-2026-12973Średnie
Wtyczka PayPlus Payment Gateway dla WordPressa przed wersją 8.2.2 nie weryfikuje autoryzacji ani własności zamówienia w jednym z endpointów AJAX dostępnych dla niezalogowanych użytkowników. Pozwala to na ujawnienie tajnego klucza zamówienia WooCommerce, a w niektórych konfiguracjach także na zmianę statusu zamówienia.
Oryginalny opis (angielski, źródło NVD)
The PayPlus Payment Gateway WordPress plugin before 8.2.2 does not perform authorization or order-ownership validation in one of its AJAX actions available to unauthenticated users, allowing them to tamper with the payment-related metadata of arbitrary WooCommerce orders.