CVE-2026-16038
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka MStore API dla WordPressa przed wersją 4.21.0 nie weryfikuje płatności z bramką płatniczą przed oznaczeniem zamówienia jako opłaconego na kilku swoich punktach końcowych finalizacji płatności. Umożliwia to nieuwierzytelnionemu atakującemu oznaczenie dowolnego zamówienia jako w pełni opłaconego bez płacenia i otrzymanie towarów lub usług za darmo.
Ocena ryzyka
Ryzyko obejmuje straty finansowe dla sklepu, ponieważ atakujący mogą otrzymać produkty lub usługi bez płacenia. Może to również prowadzić do nadużyć i zakłóceń w zarządzaniu zamówieniami.
Rekomendacja
Zaleca się aktualizację wtyczki MStore API do wersji 4.21.0 lub nowszej. Należy również wdrożyć weryfikację płatności z bramką przed oznaczeniem zamówienia jako opłaconego.
Oryginalny opis (angielski, źródło NVD)
The MStore API WordPress plugin before 4.21.0 does not verify the payment with the payment gateway before marking an order as paid on several of its payment-completion endpoints, allowing an unauthenticated attacker to mark an arbitrary order fully paid without paying and obtain goods or services for free.