CVE-2026-18586
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Premium Packages – Sell Digital Products Securely dla WordPressa jest podatna na nieuwierzytelnione trwałe skrypty cross-site (Stored XSS) poprzez parametr 'order_email' we wszystkich wersjach do 7.0.5 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przekierowań lub innych ataków. Ryzyko dotyczy wszystkich witryn WordPress korzystających z tej wtyczki.
Rekomendacja
Zaktualizuj wtyczkę Premium Packages do wersji nowszej niż 7.0.5, gdy tylko będzie dostępna. Do czasu aktualizacji rozważ wyłączenie wtyczki lub wdrożenie filtrowania ruchu (WAF).
Inne podatności w Premium Packages
Zobacz wszystkie- CVE-2026-15348Średnie
Wtyczka Premium Packages – Sell Digital Products Securely dla WordPressa w wersjach do 7.0.4 zawiera podatność na ominięcie uwierzytelnienia przez parametr 'wpdmppdl', umożliwiającą nieuwierzytelnionym atakującym zalogowanie się jako dowolny nieadministrator (np. subskrybent, klient, autor) posiadający zamówienie, poprzez dekodowanie parametru bez weryfikacji HMAC lub podpisu.
- CVE-2026-103478Średnie
Wtyczka Premium Packages – Sell Digital Products Securely dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'checkout[billing][phone]' (oraz state / taxid / email) we wszystkich wersjach do 7.2.6 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.
- CVE-2026-93511Średnie
Wtyczka Premium Packages dla WordPress w wersji przed 7.2.1 nie weryfikuje podpisu webhooka PayPal przed przetworzeniem powiadomień o płatnościach i subskrypcjach. Umożliwia to nieuwierzytelnionym atakującym fałszowanie potwierdzeń płatności i zdarzeń anulowania subskrypcji dla dowolnego zamówienia, którego identyfikator transakcji znają.
- CVE-2026-19711Średnie
Wtyczka Premium Packages dla WordPressa przed wersją 7.0.7 nie weryfikuje żądania wypłaty z rzeczywistym saldem użytkownika, co pozwala każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi bez żadnych sprzedaży, na złożenie wniosku o wypłatę dowolnej kwoty, którą administrator może następnie zatwierdzić i wypłacić.
Oryginalny opis (angielski, źródło NVD)
The Premium Packages – Sell Digital Products Securely plugin for WordPress is vulnerable to Unauthenticated Stored Cross-Site Scripting via 'order_email' in all versions up to, and including, 7.0.5 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS