CVE-2026-77758
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Stripe Payment Forms by WP Full Pay dla WordPressa przed wersją 8.5.1 nie weryfikuje poprawnie, czy sesja portalu klienta zakończyła krok potwierdzenia przed zwróceniem danych, co pozwala nieuwierzytelnionym użytkownikom na odczytanie danych subskrypcji i rozliczeń innego klienta.
Ocena ryzyka
Organizacja może doświadczyć naruszenia poufności danych finansowych klientów, co może prowadzić do konsekwencji prawnych i utraty zaufania. Atak nie wymaga uwierzytelnienia, co zwiększa ryzyko wykorzystania.
Rekomendacja
Zaleca się aktualizację wtyczki Stripe Payment Forms by WP Full Pay do wersji 8.5.1 lub nowszej, która zawiera poprawki weryfikacji sesji portalu klienta.
Inne podatności w Stripe Payment Forms by WP Full Pay
Zobacz wszystkie- CVE-2026-80311Niskie ryzyko· EPSS 3%
Wtyczka Stripe Payment Forms by WP Full Pay dla WordPressa przed wersją 8.5.5 nie weryfikuje, czy subskrypcja należy do klienta powiązanego z sesją portalu klienta przed jej anulowaniem, co pozwala użytkownikowi z potwierdzoną sesją portalu na anulowanie subskrypcji należących do innych klientów. Wykorzystanie wymaga znajomości identyfikatora subskrypcji, który jest wysokoentropijny i nie można go wyliczyć.
- CVE-2026-77789Średnie
Wtyczka Stripe Payment Forms by WP Full Pay przed wersją 8.5.1 nie weryfikuje, czy subskrypcja należy do klienta powiązanego z sesją portalu klienta, zanim na niej zadziała. Pozwala to użytkownikowi z potwierdzoną sesją portalu na anulowanie, reaktywację lub modyfikację subskrypcji należących do innych klientów.
Oryginalny opis (angielski, źródło NVD)
The Stripe Payment Forms by WP Full Pay WordPress plugin before 8.5.1 does not properly verify that a customer portal session has completed its confirmation step before returning data, allowing unauthenticated users to read another customer's subscription and billing information.