CVE-2026-81739
WysokieCVSS 7.5Streszczenie
Wtyczka Paytm Payment Gateway dla WordPressa przed wersją 2.8.9 nie filtruje i nie escapuje danych przechowywanych z callbacków płatności przed ich wyświetleniem na stronie administracyjnej. Ponieważ integralność callbacków może być sfałszowana przy braku poświadczeń, nieuwierzytelnieni użytkownicy mogą przechowywać skrypty, które wykonają się w sesji administratora sklepu.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w kontekście administratora, co może prowadzić do przejęcia konta administratora lub wykonania nieautoryzowanych działań.
Rekomendacja
Zaktualizuj wtyczkę Paytm Payment Gateway do wersji 2.8.9 lub nowszej. Skonfiguruj bramkę z prawidłowymi poświadczeniami, aby zapobiec fałszowaniu callbacków.
Inne podatności w Paytm Payment Gateway WordPress plugin
Oryginalny opis (angielski, źródło NVD)
The Paytm Payment Gateway WordPress plugin before 2.8.9 does not sanitize and escape data it stores from payment callbacks before outputting it in an admin page, and the integrity check on those callbacks can be forged when the gateway is enabled without credentials, allowing unauthenticated users to store scripts that will run in the session of a store administrator.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS