CVE-2026-77789
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Stripe Payment Forms by WP Full Pay przed wersją 8.5.1 nie weryfikuje, czy subskrypcja należy do klienta powiązanego z sesją portalu klienta, zanim na niej zadziała. Pozwala to użytkownikowi z potwierdzoną sesją portalu na anulowanie, reaktywację lub modyfikację subskrypcji należących do innych klientów.
Ocena ryzyka
Ryzyko obejmuje naruszenie integralności subskrypcji innych klientów, co może prowadzić do zakłóceń w świadczeniu usług, strat finansowych lub naruszenia zaufania. Atakujący może również wykorzystać to do uzyskania nieautoryzowanego dostępu do danych subskrypcji.
Rekomendacja
Zaleca się aktualizację wtyczki Stripe Payment Forms by WP Full Pay do wersji 8.5.1 lub nowszej. Należy również sprawdzić logi aktywności portalu klienta pod kątem nieautoryzowanych działań.
Inne podatności w Stripe Payment Forms by WP Full Pay
Zobacz wszystkie- CVE-2026-80311Niskie ryzyko· EPSS 3%
Wtyczka Stripe Payment Forms by WP Full Pay dla WordPressa przed wersją 8.5.5 nie weryfikuje, czy subskrypcja należy do klienta powiązanego z sesją portalu klienta przed jej anulowaniem, co pozwala użytkownikowi z potwierdzoną sesją portalu na anulowanie subskrypcji należących do innych klientów. Wykorzystanie wymaga znajomości identyfikatora subskrypcji, który jest wysokoentropijny i nie można go wyliczyć.
- CVE-2026-77758Średnie
Wtyczka Stripe Payment Forms by WP Full Pay dla WordPressa przed wersją 8.5.1 nie weryfikuje poprawnie, czy sesja portalu klienta zakończyła krok potwierdzenia przed zwróceniem danych, co pozwala nieuwierzytelnionym użytkownikom na odczytanie danych subskrypcji i rozliczeń innego klienta.
Oryginalny opis (angielski, źródło NVD)
The Stripe Payment Forms by WP Full Pay WordPress plugin before 8.5.1 does not verify that a subscription belongs to the customer bound to the requesting customer-portal session before acting on it, allowing a user with a confirmed portal session to cancel, reactivate or modify subscriptions belonging to other customers.