CVE-2026-39643

Wtyczka Payment Plugins for PayPal WooCommerce dla WordPressa przed wersją 2.0.27 nie weryfikuje, czy zamówienie PayPal dostarczone w żądaniu płatności należy do opłacanego zamówienia WooCommerce, chyba że to zamówienie PayPal zostało już zakończone, co pozwala nieuwierzytelnionym atakującym na przechwycenie zatwierdzonej, ale nieprzechwyconej płatności innego kupującego na własne zamówienie.

Wtyczka Payment Plugins for PayPal WooCommerce dla WordPressa przed wersją 2.0.26 nie weryfikuje, czy zapisana metoda płatności należy do użytkownika, który ją przypina, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na powiązanie zapisanej karty innego klienta z własnym kontem, a następnie jej obciążenie lub usunięcie. Wykorzystanie luki wymaga, aby atakujący znał identyfikator dostawcy płatności dla zapisanej metody ofiary, którego wtyczka przed wersją 2.0.26 nie ujawnia.

Wtyczka Payment Plugins for PayPal WooCommerce przed wersją 2.0.26 nie weryfikuje klucza zamówienia przed dodaniem danych zamówienia do konfiguracji JavaScript wyświetlanej na froncie. Pozwala to nieuwierzytelnionym użytkownikom uzyskać sekret, który kontroluje dostęp do dowolnego zamówienia, a przez to do danych rozliczeniowych i wysyłkowych klienta, poprzez iterację sekwencyjnych identyfikatorów zamówień.

Wtyczka Payment Plugins for PayPal WooCommerce przed wersją 2.0.20 nie ma odpowiednich kontroli autoryzacji na punkcie końcowym REST, co pozwala nieuwierzytelnionym użytkownikom na ominięcie płatności.