CVE-2026-80339
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Payment Plugins for Stripe WooCommerce przed wersją 4.0.12 nie weryfikuje klucza zamówienia przed dodaniem danych zamówienia do konfiguracji JavaScript wyświetlanej na froncie. Pozwala to nieuwierzytelnionym użytkownikom uzyskać dane rozliczeniowe dowolnego zamówienia oraz sekret kontrolujący dostęp do niego, poprzez iterację sekwencyjnych identyfikatorów zamówień.
Ocena ryzyka
Ryzyko obejmuje ujawnienie danych rozliczeniowych klientów oraz możliwość nieautoryzowanego dostępu do zamówień, co może prowadzić do naruszenia prywatności i oszustw.
Rekomendacja
Należy jak najszybciej zaktualizować wtyczkę do wersji 4.0.12 lub nowszej, która zawiera poprawkę walidacji klucza zamówienia.
Inne podatności w Payment Plugins for Stripe WooCommerce
Zobacz wszystkie- CVE-2026-89100Średnie
Wtyczka Payment Plugins for Stripe WooCommerce dla WordPressa jest podatna na Reflected Cross-Site Scripting poprzez fragment URL '#response' we wszystkich wersjach do 4.0.17 włącznie, z powodu niewystarczającej dezynfekcji danych wejściowych i braku odpowiedniego escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga, aby ustawienie 'Generic Errors' było odznaczone, co powoduje, że funkcja getErrorMessage() zwraca niezmieniony surowy ciąg błędu Stripe zamiast podstawić zmapowany bezpieczny komunikat.
- CVE-2026-12654Średnie
Wtyczka Payment Plugins for Stripe WooCommerce dla WordPressa do wersji 4.0.7 włącznie nie weryfikuje poprawnie uprawnień użytkownika. Niezautoryzowany atakujący może oznaczyć dowolne oczekujące zamówienie WooCommerce jako opłacone, fałszując zdarzenie charge.pending z kontrolowanymi danymi, co prowadzi do wywołania payment_complete() i realizacji zamówienia. Luka jest wykorzystywalna tylko gdy pole webhook_secret_test lub webhook_secret_live pozostawiono puste (domyślnie).
Oryginalny opis (angielski, źródło NVD)
The Payment Plugins for Stripe WooCommerce WordPress plugin before 4.0.12 does not validate the order key before adding order data to the JavaScript configuration it outputs on the front end, allowing unauthenticated users to obtain the billing details of any order, together with the secret that gates access to it, by iterating sequential order identifiers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS