CVE-2026-16738
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka Conekta Payment Gateway dla WordPressa przed wersją 6.2.2 nie weryfikuje autentyczności przychodzących powiadomień webhook z bramki płatności, ani nie wiąże potwierdzonej płatności z docelowym zamówieniem ani nie weryfikuje jej kwoty. Pozwala to nieuwierzytelnionym atakującym oznaczać dowolne zamówienia jako opłacone bez dokonania płatności.
Ocena ryzyka
Atakujący mogą oszukiwać system, oznaczając zamówienia jako opłacone bez płatności, co prowadzi do strat finansowych i naruszenia integralności procesu zamówień.
Rekomendacja
Zaktualizuj wtyczkę Conekta Payment Gateway do wersji 6.2.2 lub nowszej. Dodatkowo wdróż własną weryfikację webhooków i powiązanie płatności z zamówieniami.
Inne podatności w Conekta Payment Gateway
Zobacz wszystkie- CVE-2026-95527Średnie
Wtyczka Conekta Payment Gateway w wersjach do 6.2.4 włącznie zawiera podatność typu Broken Access Control, którą może wykorzystać nieuwierzytelniony atakujący. Błąd dotyczy niewłaściwej kontroli dostępu do funkcji wtyczki.
- CVE-2026-49066Wysokie
W bramce płatności Conekta w wersjach do 6.0.0 występuje podatność na nieautoryzowany dostęp do wrażliwych danych.
Oryginalny opis (angielski, źródło NVD)
The Conekta Payment Gateway WordPress plugin before 6.2.2 does not verify the authenticity of incoming payment gateway webhook notifications, nor bind the confirmed payment to the targeted order or verify its amount, allowing unauthenticated attackers to mark arbitrary orders as paid without payment.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS