CVE-2026-15348
ŚrednieCVSS 6.3Streszczenie
Wtyczka Premium Packages – Sell Digital Products Securely dla WordPressa w wersjach do 7.0.4 zawiera podatność na ominięcie uwierzytelnienia przez parametr 'wpdmppdl', umożliwiającą nieuwierzytelnionym atakującym zalogowanie się jako dowolny nieadministrator (np. subskrybent, klient, autor) posiadający zamówienie, poprzez dekodowanie parametru bez weryfikacji HMAC lub podpisu.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia konta dowolnego użytkownika niebędącego administratorem, co może prowadzić do nieautoryzowanego dostępu do zamówień, danych klientów lub funkcji premium.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Premium Packages do wersji powyżej 7.0.4, która usuwa tę podatność.
Inne podatności w Premium Packages
Zobacz wszystkie- CVE-2026-93511Średnie
Wtyczka Premium Packages dla WordPress w wersji przed 7.2.1 nie weryfikuje podpisu webhooka PayPal przed przetworzeniem powiadomień o płatnościach i subskrypcjach. Umożliwia to nieuwierzytelnionym atakującym fałszowanie potwierdzeń płatności i zdarzeń anulowania subskrypcji dla dowolnego zamówienia, którego identyfikator transakcji znają.
- CVE-2026-19711Średnie
Wtyczka Premium Packages dla WordPressa przed wersją 7.0.7 nie weryfikuje żądania wypłaty z rzeczywistym saldem użytkownika, co pozwala każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi bez żadnych sprzedaży, na złożenie wniosku o wypłatę dowolnej kwoty, którą administrator może następnie zatwierdzić i wypłacić.
Oryginalny opis (angielski, źródło NVD)
The Premium Packages – Sell Digital Products Securely plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 7.0.4 via the `wpdmppdl` parameter. This is due to the `download()` function — hooked to the unauthenticated WordPress `wp` action — decoding the attacker-controlled `wpdmppdl` parameter using only `base64_decode()` and `json_decode()` with no HMAC, cryptographic signature, or nonce verification, and then issuing WordPress authentication cookies after a domain check that is trivially bypassed because both sides of the comparison are attacker-supplied values. This makes it possible for unauthenticated attackers to authenticate as any non-administrator WordPress user, including subscribers, customers, contributors, authors, editors, and shop managers, who owns an order, gaining full session-level access to that account.