CVE-2026-81809

WysokieCVSS 7.5

Opublikowano: 01/10/2026(UTC)Zaktualizowano: 01/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Streszczenie

Wtyczka Paytm Payment Gateway dla WordPressa przed wersją 2.8.9 nieprawidłowo escapuje dane pochodzące z callbacków płatności przed użyciem ich w zapytaniu SQL. Ponadto, gdy bramka jest włączona bez poświadczeń, integralność tych callbacków może być sfałszowana, co pozwala nieuwierzytelnionym użytkownikom na przeprowadzenie ataków SQL injection.

Ocena ryzyka

Atakujący może wykonać dowolne zapytania SQL, co może prowadzić do wycieku danych, modyfikacji bazy danych lub całkowitego przejęcia kontroli nad witryną.

Rekomendacja

Zaktualizuj wtyczkę Paytm Payment Gateway do wersji 2.8.9 lub nowszej. Upewnij się, że bramka jest skonfigurowana z prawidłowymi poświadczeniami.

Inne podatności w Paytm Payment Gateway WordPress plugin

CVE-2026-81739Wysokie
Wtyczka Paytm Payment Gateway dla WordPressa przed wersją 2.8.9 nie filtruje i nie escapuje danych przechowywanych z callbacków płatności przed ich wyświetleniem na stronie administracyjnej. Ponieważ integralność callbacków może być sfałszowana przy braku poświadczeń, nieuwierzytelnieni użytkownicy mogą przechowywać skrypty, które wykonają się w sesji administratora sklepu.

Oryginalny opis (angielski, źródło NVD)

The Paytm Payment Gateway WordPress plugin before 2.8.9 does not properly escape data taken from payment callbacks before using it in a SQL statement, and the integrity check on those callbacks can be forged when the gateway is enabled without credentials, allowing unauthenticated users to perform SQL injection attacks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS