CVE-2026-80311
Niskie ryzyko· EPSS 3%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka Stripe Payment Forms by WP Full Pay dla WordPressa przed wersją 8.5.5 nie weryfikuje, czy subskrypcja należy do klienta powiązanego z sesją portalu klienta przed jej anulowaniem, co pozwala użytkownikowi z potwierdzoną sesją portalu na anulowanie subskrypcji należących do innych klientów. Wykorzystanie wymaga znajomości identyfikatora subskrypcji, który jest wysokoentropijny i nie można go wyliczyć.
Ocena ryzyka
Podatność może prowadzić do nieautoryzowanego anulowania subskrypcji innych klientów, co może powodować przerwy w świadczeniu usług i straty finansowe.
Rekomendacja
Zaleca się aktualizację wtyczki Stripe Payment Forms by WP Full Pay do wersji 8.5.5 lub nowszej, która zawiera poprawkę weryfikacji własności subskrypcji.
Inne podatności w Stripe Payment Forms by WP Full Pay
Zobacz wszystkie- CVE-2026-77789Średnie
Wtyczka Stripe Payment Forms by WP Full Pay przed wersją 8.5.1 nie weryfikuje, czy subskrypcja należy do klienta powiązanego z sesją portalu klienta, zanim na niej zadziała. Pozwala to użytkownikowi z potwierdzoną sesją portalu na anulowanie, reaktywację lub modyfikację subskrypcji należących do innych klientów.
- CVE-2026-77758Średnie
Wtyczka Stripe Payment Forms by WP Full Pay dla WordPressa przed wersją 8.5.1 nie weryfikuje poprawnie, czy sesja portalu klienta zakończyła krok potwierdzenia przed zwróceniem danych, co pozwala nieuwierzytelnionym użytkownikom na odczytanie danych subskrypcji i rozliczeń innego klienta.
Oryginalny opis (angielski, źródło NVD)
The Stripe Payment Forms by WP Full Pay WordPress plugin before 8.5.5 does not verify that a subscription belongs to the customer bound to the requesting customer-portal session before cancelling it, allowing a user with a confirmed portal session to cancel subscriptions belonging to other customers. Exploitation requires the attacker to know the target subscription's identifier, which is high-entropy and not enumerable through the Stripe Payment Forms by WP Full Pay WordPress plugin before 8.5.5.