CVE-2026-16738

ŚrednieCVSS 5.3

Opublikowano: 22/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 22/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

Wtyczka Conekta Payment Gateway dla WordPressa przed wersją 6.2.2 nie weryfikuje autentyczności przychodzących powiadomień webhook z bramki płatności, ani nie wiąże potwierdzonej płatności z docelowym zamówieniem ani nie weryfikuje jej kwoty. Pozwala to nieuwierzytelnionym atakującym oznaczać dowolne zamówienia jako opłacone bez dokonania płatności.

Ocena ryzyka

Atakujący mogą oszukiwać system, oznaczając zamówienia jako opłacone bez płatności, co prowadzi do strat finansowych i naruszenia integralności procesu zamówień.

Rekomendacja

Zaktualizuj wtyczkę Conekta Payment Gateway do wersji 6.2.2 lub nowszej. Dodatkowo wdróż własną weryfikację webhooków i powiązanie płatności z zamówieniami.

Inne podatności w Conekta Payment Gateway

CVE-2026-49066Wysokie
W bramce płatności Conekta w wersjach do 6.0.0 występuje podatność na nieautoryzowany dostęp do wrażliwych danych.

Oryginalny opis (angielski, źródło NVD)

The Conekta Payment Gateway WordPress plugin before 6.2.2 does not verify the authenticity of incoming payment gateway webhook notifications, nor bind the confirmed payment to the targeted order or verify its amount, allowing unauthenticated attackers to mark arbitrary orders as paid without payment.