CVE-2026-80341
NieznaneStreszczenie
Wtyczka Payment Plugins for PayPal WooCommerce dla WordPressa przed wersją 2.0.26 nie weryfikuje, czy zapisana metoda płatności należy do użytkownika, który ją przypina, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na powiązanie zapisanej karty innego klienta z własnym kontem, a następnie jej obciążenie lub usunięcie. Wykorzystanie luki wymaga, aby atakujący znał identyfikator dostawcy płatności dla zapisanej metody ofiary, którego wtyczka przed wersją 2.0.26 nie ujawnia.
Ocena ryzyka
Atakujący może dokonać nieautoryzowanych transakcji na cudzej karcie płatniczej, co prowadzi do strat finansowych klientów i poważnych konsekwencji prawnych dla organizacji.
Rekomendacja
Zaktualizuj wtyczkę Payment Plugins for PayPal WooCommerce do wersji 2.0.26 lub nowszej, która zawiera poprawki weryfikacji własności metod płatności.
Inne podatności w Payment Plugins for PayPal WooCommerce
Zobacz wszystkie- CVE-2026-80340Nieznane
Wtyczka Payment Plugins for PayPal WooCommerce przed wersją 2.0.26 nie weryfikuje klucza zamówienia przed dodaniem danych zamówienia do konfiguracji JavaScript wyświetlanej na froncie. Pozwala to nieuwierzytelnionym użytkownikom uzyskać sekret, który kontroluje dostęp do dowolnego zamówienia, a przez to do danych rozliczeniowych i wysyłkowych klienta, poprzez iterację sekwencyjnych identyfikatorów zamówień.
- CVE-2026-13399Wysokie
Wtyczka Payment Plugins for PayPal WooCommerce przed wersją 2.0.20 nie ma odpowiednich kontroli autoryzacji na punkcie końcowym REST, co pozwala nieuwierzytelnionym użytkownikom na ominięcie płatności.
- CVE-2026-39643Średnie
Wtyczka Payment Plugins for PayPal WooCommerce dla WordPressa ma brak autoryzacji, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 2.0.13 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Payment Plugins for PayPal WooCommerce WordPress plugin before 2.0.26 does not verify that a stored payment method belongs to the user attaching it, allowing any authenticated user, such as a subscriber, to bind another customer's stored card to their own account and then charge or delete it. Exploitation requires the attacker to already know the payment provider's identifier for the victim's stored method, which the Payment Plugins for PayPal WooCommerce WordPress plugin before 2.0.26 does not expose.