CVE-2026-32834

Wysokie

Opublikowano: 04/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Wtyczka Easy PayPal Events & Tickets dla WordPress przed wersją 1.4 zawiera podatność na obejście uwierzytelnienia w funkcjonalności skanowania kodów QR. Atakujący mogą wykorzystać tę lukę, dostarczając 'test' jako parametr hasha, co pozwala na dostęp do wrażliwych danych zamówień.

Ocena ryzyka

Organizacje mogą być narażone na kradzież wrażliwych informacji, takich jak identyfikatory transakcji PayPal, adresy e-mail klientów oraz szczegóły zamówień, co może prowadzić do strat finansowych i naruszenia prywatności.

Rekomendacja

Zaleca się aktualizację wtyczki Easy PayPal Events & Tickets do wersji 1.4 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto monitorować dostęp do wrażliwych danych i wdrożyć dodatkowe środki zabezpieczające.

Inne podatności w Easy PayPal Events & Tickets plugin for WordPress

CVE-2026-41471Wysokie
Wtyczka Easy PayPal Events & Tickets dla WordPressa przed wersją 1.4 zawiera podatność na ujawnienie informacji w punkcie końcowym skanowania kodów QR. Umożliwia to nieautoryzowanym atakującym enumerację i pobieranie wszystkich rekordów zamówień klientów.

Oryginalny opis (angielski, źródło NVD)

Easy PayPal Events & Tickets plugin for WordPress before version 1.4 contains a hardcoded authentication bypass vulnerability in the QR code scanning functionality that allows unauthenticated remote attackers to bypass hash verification by supplying 'test' as the hash parameter. Attackers can access the vulnerable endpoint via the add_wpeevent_button_qr action to retrieve sensitive order details including PayPal transaction IDs, customer email addresses, purchase amounts, and ticket information for any order with a known or guessed post ID.