CVE-2026-42676

Podatność wtyczki myCred dla WordPress (do wersji 3.2.4 włącznie) polega na przechowywanym ataku XSS przez atrybut 'wrapper' w shortcode. Z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia, uwierzytelnieni atakujący z uprawnieniami współautora mogą wstrzykiwać dowolne skrypty webowe, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka myCred dla WordPressa przed wersją 3.2.5 nie weryfikuje, czy odbiorca przychodzącego powiadomienia z bramki płatniczej odpowiada skonfigurowanemu kontu handlowemu witryny, co pozwala nieuwierzytelnionym atakującym na zasilenie dowolnej ilości waluty wewnętrznej witryny na konto poprzez dokonanie płatności za oczekiwaną kwotę na kontrolowane przez siebie konto bramki, a nie na konto witryny.

Wtyczka myCred dla WordPressa zawiera lukę braku autoryzacji, która umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Luka dotyczy wersji do 3.1.2 włącznie.

Wersje myCred do 3.0.3 mają lukę w kontroli dostępu, co pozwala na nieautoryzowany dostęp do zasobów subskrybenta.

Wtyczka myCred – Points Management System For Gamification, Ranks, Badges, and Loyalty Program dla WordPressa do wersji 2.9.7 włącznie jest podatna na brak autoryzacji. Z powodu nieprawidłowej weryfikacji uprawnień, nieuwierzytelnieni atakujący mogą zatwierdzać wnioski o wypłatę, modyfikować salda punktów użytkowników i manipulować systemem płatności za pomocą akcji AJAX cashcred_pay_now.