CVE-2026-66611
WysokieCVSS 7.1Streszczenie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Paymob for WooCommerce w wersjach do 4.1.10 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
Ocena ryzyka
Ryzyko kradzieży danych klientów, przejęcia sesji lub manipulacji treścią strony sklepu.
Rekomendacja
Zaktualizuj wtyczkę Paymob for WooCommerce do najnowszej wersji z poprawką bezpieczeństwa.
Inne podatności w Paymob for WooCommerce
Zobacz wszystkie- CVE-2026-87978Średnie
Wtyczka Paymob for WooCommerce dla WordPressa przed wersją 4.1.14 nie weryfikuje podpisu żądania w jednej gałęzi webhooka płatności, co pozwala nieuwierzytelnionym atakującym oznaczać dowolne zamówienia WooCommerce jako opłacone bez żadnej płatności.
- CVE-2026-87981Średnie
Wtyczka WordPress Paymob for WooCommerce w wersji przed 4.1.14 nie wykonuje sprawdzenia uprawnień w kilku akcjach AJAX panelu administracyjnego zarządzających konfiguracją bramki płatności. Użytkownicy z poziomem współtwórcy mogą usuwać, kasować lub modyfikować tę konfigurację, w tym przechowywane dane uwierzytelniające płatności.
- CVE-2026-87979Średnie
Wtyczka WordPress Paymob for WooCommerce w wersji przed 4.1.14 nie weryfikuje podpisu żądania w gałęzi card-token swojego webhooka płatności. Nieuwierzytelnieni atakujący mogą zapisać rekord tokenu karty na dowolnym koncie użytkownika oraz enumerować zarejestrowane konta.
- CVE-2026-56025Wysokie
Wtyczka Paymob for WooCommerce w wersji 4.1.2 i starszych zawiera podatność na nieuwierzytelniony, uszkodzony mechanizm kontroli dostępu. Osoba atakująca bez uwierzytelnienia może wykorzystać tę lukę do nieautoryzowanego dostępu do funkcji wtyczki.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in Paymob for WooCommerce <= 4.1.10 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS