CVE-2026-15150
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka myCred dla WordPressa przed wersją 3.2.5 nie weryfikuje, czy odbiorca przychodzącego powiadomienia z bramki płatniczej odpowiada skonfigurowanemu kontu handlowemu witryny, co pozwala nieuwierzytelnionym atakującym na zasilenie dowolnej ilości waluty wewnętrznej witryny na konto poprzez dokonanie płatności za oczekiwaną kwotę na kontrolowane przez siebie konto bramki, a nie na konto witryny.
Ocena ryzyka
Ryzyko obejmuje możliwość nieautoryzowanego kredytowania kont walutą wewnętrzną, co może prowadzić do nadużyć i strat finansowych.
Rekomendacja
Zaleca się aktualizację wtyczki myCred do wersji 3.2.5 lub nowszej oraz wdrożenie weryfikacji odbiorcy powiadomień.
Inne podatności w myCred
Zobacz wszystkie- CVE-2026-17149Średnie
Podatność wtyczki myCred dla WordPress (do wersji 3.2.4 włącznie) polega na przechowywanym ataku XSS przez atrybut 'wrapper' w shortcode. Z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia, uwierzytelnieni atakujący z uprawnieniami współautora mogą wstrzykiwać dowolne skrypty webowe, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2026-61968Średnie
Wtyczka myCred dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji do 3.1.2 włącznie.
- CVE-2026-40794Średnie
Wersje myCred do 3.0.3 mają lukę w kontroli dostępu, co pozwala na nieautoryzowany dostęp do zasobów subskrybenta.
- CVE-2026-42676Średnie
Wtyczka myCred jest podatna na przechowywany atak Cross-Site Scripting (XSS) we wszystkich wersjach do 3.0.4 włącznie. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania strony umożliwia atakującym wstrzyknięcie złośliwego skryptu, który jest następnie wykonywany w przeglądarkach innych użytkowników.
- CVE-2025-12362Średnie
Wtyczka myCred – Points Management System For Gamification, Ranks, Badges, and Loyalty Program dla WordPressa do wersji 2.9.7 włącznie jest podatna na brak autoryzacji. Z powodu nieprawidłowej weryfikacji uprawnień, nieuwierzytelnieni atakujący mogą zatwierdzać wnioski o wypłatę, modyfikować salda punktów użytkowników i manipulować systemem płatności za pomocą akcji AJAX cashcred_pay_now.
Oryginalny opis (angielski, źródło NVD)
The myCred WordPress plugin before 3.2.5 does not verify that the receiver of an incoming payment gateway notification matches the site's configured merchant account, allowing unauthenticated attackers to have arbitrary amounts of the site's in-site currency credited to an account by completing a payment for the expected amount to a gateway account they control rather than the site's.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS