CVE-2026-6939
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka CorvusPay WooCommerce Payment Gateway dla WordPressa do wersji 2.7.4 zawiera podatność na przechowywany atak XSS przez parametr 'approval_code'. Brak odpowiedniej sanitizacji wejścia i eskapowania wyjścia umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie dowolnego skryptu, który wykona się przy dostępie do zainfekowanej strony. Dodatkowo, endpoint REST POST /wp-json/corvuspay/success/ jest dostępny bez uwierzytelnienia, a walidacja podpisu nie zatrzymuje wykonania, co pozwala na zapisanie złośliwego kodu w bazie danych.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia sesji użytkowników, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania poprzez wykonanie skryptów w kontekście przeglądarki ofiary. Atak nie wymaga uwierzytelnienia, co zwiększa jego zasięg.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę CorvusPay WooCommerce Payment Gateway do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz wtyczkę lub zablokuj dostęp do endpointu REST /wp-json/corvuspay/success/ dla niezaufanych żądań.
Inne podatności w CorvusPay WooCommerce Payment Gateway
Zobacz wszystkie- CVE-2026-9028Średnie
Wtyczka CorvusPay WooCommerce Payment Gateway dla WordPressa w wersjach do 2.7.4 włącznie zawiera lukę w autoryzacji, która pozwala nieuwierzytelnionym atakującym na anulowanie dowolnego zamówienia WooCommerce złożonego za pomocą metody płatności CorvusPay. Atak jest możliwy poprzez podanie dowolnego numeru zamówienia do endpointu REST /wp-json/corvuspay/cancel/.
- CVE-2026-9027Średnie
Wtyczka CorvusPay WooCommerce Payment Gateway dla WordPressa do wersji 2.7.4 włącznie zawiera podatność umożliwiającą ominięcie płatności. Funkcja `corvuspay_success_handler` rejestruje endpoint REST `POST /wp-json/corvuspay/success/` bez wymaganego uwierzytelnienia, a wynik walidacji podpisu kryptograficznego nie jest sprawdzany warunkowo, co pozwala na oznaczenie dowolnego oczekującego zamówienia jako opłaconego.
- CVE-2026-56029Wysokie
Wtyczka CorvusPay WooCommerce Payment Gateway w wersji 2.7.4 i starszych zawiera podatność na złamanie uwierzytelniania bez wymaganego logowania. Osoba atakująca może wykorzystać tę lukę bez posiadania konta w systemie.
Oryginalny opis (angielski, źródło NVD)
The CorvusPay WooCommerce Payment Gateway plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'approval_code' parameter in all versions up to, and including, 2.7.4 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The unauthenticated REST endpoint POST /wp-json/corvuspay/success/ is registered with permission_callback set to __return_true, and although a signature validation step exists it only logs the result without halting execution, meaning an attacker can supply a completely arbitrary signature and have a malicious approval_code stored in the database unchallenged.