CVE-2026-80342
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Payment Plugins for PayPal WooCommerce dla WordPressa przed wersją 2.0.27 nie weryfikuje, czy zamówienie PayPal dostarczone w żądaniu płatności należy do opłacanego zamówienia WooCommerce, chyba że to zamówienie PayPal zostało już zakończone, co pozwala nieuwierzytelnionym atakującym na przechwycenie zatwierdzonej, ale nieprzechwyconej płatności innego kupującego na własne zamówienie.
Ocena ryzyka
Atakujący może przechwycić płatności innych klientów, co prowadzi do strat finansowych i naruszenia integralności transakcji.
Rekomendacja
Zaktualizuj wtyczkę Payment Plugins for PayPal WooCommerce do wersji 2.0.27 lub nowszej, która zawiera poprawkę weryfikacji zamówienia.
Inne podatności w Payment Plugins for PayPal WooCommerce
Zobacz wszystkie- CVE-2026-80341Średnie
Wtyczka Payment Plugins for PayPal WooCommerce dla WordPressa przed wersją 2.0.26 nie weryfikuje, czy zapisana metoda płatności należy do użytkownika, który ją przypina, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak subskrybent, na powiązanie zapisanej karty innego klienta z własnym kontem, a następnie jej obciążenie lub usunięcie. Wykorzystanie luki wymaga, aby atakujący znał identyfikator dostawcy płatności dla zapisanej metody ofiary, którego wtyczka przed wersją 2.0.26 nie ujawnia.
- CVE-2026-80340Średnie
Wtyczka Payment Plugins for PayPal WooCommerce przed wersją 2.0.26 nie weryfikuje klucza zamówienia przed dodaniem danych zamówienia do konfiguracji JavaScript wyświetlanej na froncie. Pozwala to nieuwierzytelnionym użytkownikom uzyskać sekret, który kontroluje dostęp do dowolnego zamówienia, a przez to do danych rozliczeniowych i wysyłkowych klienta, poprzez iterację sekwencyjnych identyfikatorów zamówień.
- CVE-2026-13399Wysokie
Wtyczka Payment Plugins for PayPal WooCommerce przed wersją 2.0.20 nie ma odpowiednich kontroli autoryzacji na punkcie końcowym REST, co pozwala nieuwierzytelnionym użytkownikom na ominięcie płatności.
- CVE-2026-39643Średnie
Wtyczka Payment Plugins for PayPal WooCommerce dla WordPressa ma brak autoryzacji, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 2.0.13 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Payment Plugins for PayPal WooCommerce WordPress plugin before 2.0.27 does not verify that a PayPal order supplied in a payment request belongs to the WooCommerce order being paid unless that PayPal order has already been completed, allowing unauthenticated attackers to have another buyer's approved but uncaptured payment captured against an order of their own.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS