CVE-2026-16621
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka Payment Gateway for PayPal on WooCommerce dla WordPressa przed wersją 9.2.1 nie weryfikuje, czy płatność faktycznie się powiodła przed ukończeniem zamówienia w swoim handlerze zwrotnym PayPal: czyta parametry kontrolowane przez atakującego, nie wykonuje porównania kwot ani sprawdzenia własności zamówienia i kończy zamówienie nawet wtedy, gdy weryfikacja po stronie serwera nie powiedzie się, co pozwala nieuwierzytelnionemu atakującemu oznaczyć dowolne zamówienia jako opłacone bez płacenia.
Ocena ryzyka
Ryzyko obejmuje realizację zamówień bez płatności, co prowadzi do strat finansowych i nadużyć.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do wersji 9.2.1 lub nowszej oraz wdrożenie weryfikacji statusu płatności i własności zamówienia.
Inne podatności w Payment Gateway for PayPal on WooCommerce
Zobacz wszystkie- CVE-2026-59547Wysokie
Wtyczka Payment Gateway for PayPal on WooCommerce w wersji do 9.1.4 zawiera podatność na nieuwierzytelniony złamany dostęp do kontroli (Broken Access Control). Niezalogowany atakujący może ominąć mechanizmy autoryzacji i uzyskać nieuprawniony dostęp do funkcji lub danych.
- CVE-2026-92400Średnie
Wtyczka WordPress Payment Gateway for PayPal on WooCommerce w wersji przed 9.2.1 nie weryfikuje, czy przychodzące powiadomienie o płatności zostało potwierdzone w skonfigurowanym środowisku płatności sklepu ani czy wpłata trafiła na konto merchant sklepu, zanim oznaczy zamówienie jako zakończone. Umożliwia to nieuwierzytelnionym użytkownikom oznaczenie własnych zamówień jako opłaconych przy użyciu prawdziwej transakcji z kontrolowanego przez nich sandboxa płatności.
- CVE-2025-63023Średnie
Wtyczka Payment Gateway for PayPal on WooCommerce zawiera lukę braku autoryzacji, która pozwala wykorzystać nieprawidłowo skonfigurowane poziomy kontroli dostępu. Problem dotyczy wersji do 9.0.53 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Payment Gateway for PayPal on WooCommerce WordPress plugin before 9.2.1 does not verify that payment actually succeeded before completing an order in its PayPal return handler: it reads attacker-controlled parameters, performs no amount comparison and no order-ownership check, and completes the order even when the server-side gateway verification fails, allowing an unauthenticated attacker to mark arbitrary orders as paid without paying.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS