CVE-2026-19711
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka Premium Packages dla WordPressa przed wersją 7.0.7 nie weryfikuje żądania wypłaty z rzeczywistym saldem użytkownika, co pozwala każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi bez żadnych sprzedaży, na złożenie wniosku o wypłatę dowolnej kwoty, którą administrator może następnie zatwierdzić i wypłacić.
Ocena ryzyka
Ryzyko polega na możliwości nieuczciwych wypłat środków, co prowadzi do strat finansowych organizacji.
Rekomendacja
Należy zaktualizować wtyczkę do wersji 7.0.7 lub nowszej oraz wdrożyć dodatkową walidację wniosków o wypłatę po stronie serwera.
Inne podatności w Premium Packages
Zobacz wszystkie- CVE-2026-15348Średnie
Wtyczka Premium Packages – Sell Digital Products Securely dla WordPressa w wersjach do 7.0.4 zawiera podatność na ominięcie uwierzytelnienia przez parametr 'wpdmppdl', umożliwiającą nieuwierzytelnionym atakującym zalogowanie się jako dowolny nieadministrator (np. subskrybent, klient, autor) posiadający zamówienie, poprzez dekodowanie parametru bez weryfikacji HMAC lub podpisu.
- CVE-2026-18586Wysokie
Wtyczka Premium Packages – Sell Digital Products Securely dla WordPressa jest podatna na nieuwierzytelnione trwałe skrypty cross-site (Stored XSS) poprzez parametr 'order_email' we wszystkich wersjach do 7.0.5 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-103478Średnie
Wtyczka Premium Packages – Sell Digital Products Securely dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'checkout[billing][phone]' (oraz state / taxid / email) we wszystkich wersjach do 7.2.6 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.
- CVE-2026-93511Średnie
Wtyczka Premium Packages dla WordPress w wersji przed 7.2.1 nie weryfikuje podpisu webhooka PayPal przed przetworzeniem powiadomień o płatnościach i subskrypcjach. Umożliwia to nieuwierzytelnionym atakującym fałszowanie potwierdzeń płatności i zdarzeń anulowania subskrypcji dla dowolnego zamówienia, którego identyfikator transakcji znają.
Oryginalny opis (angielski, źródło NVD)
The Premium Packages WordPress plugin before 7.0.7 does not validate a withdrawal request against the requesting user's actual earned balance, allowing any authenticated user, including a subscriber with no sales at all, to submit a payout request for an arbitrary amount, which an administrator may then approve and pay out.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS