CVE-2026-13399
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Payment Plugins for PayPal WooCommerce przed wersją 2.0.20 nie ma odpowiednich kontroli autoryzacji na punkcie końcowym REST, co pozwala nieuwierzytelnionym użytkownikom na ominięcie płatności.
Ocena ryzyka
Nieuwierzytelnieni użytkownicy mogą składać zamówienia bez płacenia, co prowadzi do strat finansowych i naruszenia integralności procesu zamówień.
Rekomendacja
Zaktualizuj wtyczkę do wersji 2.0.20 lub nowszej. Sprawdź konfigurację punktów końcowych REST i dodaj odpowiednie autoryzacje.
Inne podatności w Payment Plugins for PayPal WooCommerce
Zobacz wszystkie- CVE-2026-80342Średnie
Wtyczka Payment Plugins for PayPal WooCommerce dla WordPressa przed wersją 2.0.27 nie weryfikuje, czy zamówienie PayPal dostarczone w żądaniu płatności należy do opłacanego zamówienia WooCommerce, chyba że to zamówienie PayPal zostało już zakończone, co pozwala nieuwierzytelnionym atakującym na przechwycenie zatwierdzonej, ale nieprzechwyconej płatności innego kupującego na własne zamówienie.
- CVE-2026-80341Średnie
Wtyczka Payment Plugins for PayPal WooCommerce dla WordPressa przed wersją 2.0.26 nie weryfikuje, czy zapisana metoda płatności należy do użytkownika, który ją przypina, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na powiązanie zapisanej karty innego klienta z własnym kontem, a następnie jej obciążenie lub usunięcie. Wykorzystanie luki wymaga, aby atakujący znał identyfikator dostawcy płatności dla zapisanej metody ofiary, którego wtyczka przed wersją 2.0.26 nie ujawnia.
- CVE-2026-80340Średnie
Wtyczka Payment Plugins for PayPal WooCommerce przed wersją 2.0.26 nie weryfikuje klucza zamówienia przed dodaniem danych zamówienia do konfiguracji JavaScript wyświetlanej na froncie. Pozwala to nieuwierzytelnionym użytkownikom uzyskać sekret, który kontroluje dostęp do dowolnego zamówienia, a przez to do danych rozliczeniowych i wysyłkowych klienta, poprzez iterację sekwencyjnych identyfikatorów zamówień.
- CVE-2026-39643Średnie
Wtyczka Payment Plugins for PayPal WooCommerce dla WordPressa ma brak autoryzacji, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 2.0.13 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Payment Plugins for PayPal WooCommerce WordPress plugin before 2.0.20 does not have proper authorization checks on a REST endpoint, allowing unauthenticated users to bypass payments
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS