CVE-2026-56025
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Wtyczka Paymob for WooCommerce w wersji 4.1.2 i starszych zawiera podatność na nieuwierzytelniony, uszkodzony mechanizm kontroli dostępu. Osoba atakująca bez uwierzytelnienia może wykorzystać tę lukę do nieautoryzowanego dostępu do funkcji wtyczki.
Ocena ryzyka
Ryzyko obejmuje możliwość nieautoryzowanego dostępu do wrażliwych funkcji wtyczki, co może prowadzić do naruszenia integralności danych lub nieuprawnionych działań w systemie WooCommerce.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Paymob for WooCommerce do najnowszej dostępnej wersji, która usuwa tę podatność.
Inne podatności w Paymob for WooCommerce <= 4.1.2
Zobacz wszystkie- CVE-2026-66611Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Paymob for WooCommerce w wersjach do 4.1.10 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-87978Średnie
Wtyczka Paymob for WooCommerce dla WordPressa przed wersją 4.1.14 nie weryfikuje podpisu żądania w jednej gałęzi webhooka płatności, co pozwala nieuwierzytelnionym atakującym oznaczać dowolne zamówienia WooCommerce jako opłacone bez żadnej płatności.
- CVE-2026-87981Średnie
Wtyczka WordPress Paymob for WooCommerce w wersji przed 4.1.14 nie wykonuje sprawdzenia uprawnień w kilku akcjach AJAX panelu administracyjnego zarządzających konfiguracją bramki płatności. Użytkownicy z poziomem współtwórcy mogą usuwać, kasować lub modyfikować tę konfigurację, w tym przechowywane dane uwierzytelniające płatności.
- CVE-2026-87979Średnie
Wtyczka WordPress Paymob for WooCommerce w wersji przed 4.1.14 nie weryfikuje podpisu żądania w gałęzi card-token swojego webhooka płatności. Nieuwierzytelnieni atakujący mogą zapisać rekord tokenu karty na dowolnym koncie użytkownika oraz enumerować zarejestrowane konta.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Broken Access Control in Paymob for WooCommerce <= 4.1.2 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS