CVE-2026-15150
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka myCred dla WordPressa przed wersją 3.2.5 nie weryfikuje, czy odbiorca przychodzącego powiadomienia z bramki płatniczej odpowiada skonfigurowanemu kontu handlowemu witryny, co pozwala nieuwierzytelnionym atakującym na zasilenie dowolnej ilości waluty wewnętrznej witryny na konto poprzez dokonanie płatności za oczekiwaną kwotę na kontrolowane przez siebie konto bramki, a nie na konto witryny.
Ocena ryzyka
Ryzyko obejmuje możliwość nieautoryzowanego kredytowania kont walutą wewnętrzną, co może prowadzić do nadużyć i strat finansowych.
Rekomendacja
Zaleca się aktualizację wtyczki myCred do wersji 3.2.5 lub nowszej oraz wdrożenie weryfikacji odbiorcy powiadomień.
Inne podatności w myCred
Zobacz wszystkie- CVE-2026-61968Średnie
Wtyczka myCred dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji do 3.1.2 włącznie.
- CVE-2026-40794Średnie
Wersje myCred do 3.0.3 mają lukę w kontroli dostępu, co pozwala na nieautoryzowany dostęp do zasobów subskrybenta.
- CVE-2026-42676Średnie
Wtyczka myCred jest podatna na przechowywany atak Cross-Site Scripting (XSS) we wszystkich wersjach do 3.0.4 włącznie. Brak odpowiedniej neutralizacji danych wejściowych podczas generowania strony umożliwia atakującym wstrzyknięcie złośliwego skryptu, który jest następnie wykonywany w przeglądarkach innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The myCred WordPress plugin before 3.2.5 does not verify that the receiver of an incoming payment gateway notification matches the site's configured merchant account, allowing unauthenticated attackers to have arbitrary amounts of the site's in-site currency credited to an account by completing a payment for the expected amount to a gateway account they control rather than the site's.