CVE-2026-59547

Wtyczka WordPress Payment Gateway for PayPal on WooCommerce w wersji przed 9.2.1 nie weryfikuje, czy przychodzące powiadomienie o płatności zostało potwierdzone w skonfigurowanym środowisku płatności sklepu ani czy wpłata trafiła na konto merchant sklepu, zanim oznaczy zamówienie jako zakończone. Umożliwia to nieuwierzytelnionym użytkownikom oznaczenie własnych zamówień jako opłaconych przy użyciu prawdziwej transakcji z kontrolowanego przez nich sandboxa płatności.

Wtyczka Payment Gateway for PayPal on WooCommerce dla WordPressa przed wersją 9.2.1 nie weryfikuje, czy płatność faktycznie się powiodła przed ukończeniem zamówienia w swoim handlerze zwrotnym PayPal: czyta parametry kontrolowane przez atakującego, nie wykonuje porównania kwot ani sprawdzenia własności zamówienia i kończy zamówienie nawet wtedy, gdy weryfikacja po stronie serwera nie powiedzie się, co pozwala nieuwierzytelnionemu atakującemu oznaczyć dowolne zamówienia jako opłacone bez płacenia.

Wtyczka Payment Gateway for PayPal on WooCommerce zawiera lukę braku autoryzacji, która pozwala wykorzystać nieprawidłowo skonfigurowane poziomy kontroli dostępu. Problem dotyczy wersji do 9.0.53 włącznie.