CVE-2026-12973
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka PayPlus Payment Gateway dla WordPressa przed wersją 8.2.2 nie weryfikuje autoryzacji ani własności zamówienia w jednym z endpointów AJAX dostępnych dla niezalogowanych użytkowników. Pozwala to na ujawnienie tajnego klucza zamówienia WooCommerce, a w niektórych konfiguracjach także na zmianę statusu zamówienia.
Ocena ryzyka
Atakujący może poznać tajne klucze zamówień i potencjalnie modyfikować ich statusy, co prowadzi do naruszenia poufności i integralności danych zamówień.
Rekomendacja
Zaktualizuj wtyczkę PayPlus Payment Gateway do wersji 8.2.2 lub nowszej.
Inne podatności w PayPlus Payment Gateway
Zobacz wszystkie- CVE-2026-93620Średnie
Wtyczka PayPlus Payment Gateway w wersjach do 8.2.5 zawiera podatność typu Broken Access Control, która pozwala nieuwierzytelnionemu atakującemu na obejście mechanizmów kontroli dostępu. Brak odpowiedniej weryfikacji uprawnień umożliwia wykonanie operacji zastrzeżonych dla uprawnionych użytkowników.
- CVE-2026-12972Średnie
Wtyczka PayPlus Payment Gateway dla WordPressa przed wersją 8.2.2 nie weryfikuje autoryzacji ani własności zamówienia w jednym z endpointów AJAX dostępnych dla niezalogowanych użytkowników. Pozwala to na manipulację metadanymi płatności dowolnych zamówień WooCommerce.
Oryginalny opis (angielski, źródło NVD)
The PayPlus Payment Gateway WordPress plugin before 8.2.2 does not perform authorization or order-ownership validation in one of its AJAX actions available to unauthenticated users, allowing them to disclose the secret order key of arbitrary WooCommerce orders and, under some configurations, to modify order statuses.