CVE-2026-19711
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Premium Packages dla WordPressa przed wersją 7.0.7 nie weryfikuje żądania wypłaty z rzeczywistym saldem użytkownika, co pozwala każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi bez żadnych sprzedaży, na złożenie wniosku o wypłatę dowolnej kwoty, którą administrator może następnie zatwierdzić i wypłacić.
Ocena ryzyka
Ryzyko polega na możliwości nieuczciwych wypłat środków, co prowadzi do strat finansowych organizacji.
Rekomendacja
Należy zaktualizować wtyczkę do wersji 7.0.7 lub nowszej oraz wdrożyć dodatkową walidację wniosków o wypłatę po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
The Premium Packages WordPress plugin before 7.0.7 does not validate a withdrawal request against the requesting user's actual earned balance, allowing any authenticated user, including a subscriber with no sales at all, to submit a payout request for an arbitrary amount, which an administrator may then approve and pay out.