CVE-2026-82211

WysokieCVSS 8.2

Opublikowano: 07/10/2026(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 07/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka Nexi XPay Build dla WordPressa do wersji 7.6.2 nie weryfikuje wyniku płatności dostarczonego do kilku nieuwierzytelnionych tras, co pozwala atakującym oznaczać dowolne zamówienia jako opłacone lub nieudane, anulować je oraz uzyskiwać klucze zamówień ujawniające dane gości.

Ocena ryzyka

Atakujący może manipulować statusami płatności i uzyskać dostęp do danych osobowych klientów, co może prowadzić do oszustw finansowych i naruszenia prywatności.

Rekomendacja

Zaleca się aktualizację wtyczki Nexi XPay Build do najnowszej wersji oraz wdrożenie weryfikacji wyników płatności po stronie serwera.

Inne podatności w Nexi XPay Build WordPress plugin

CVE-2026-82213Średnie
Wtyczka Nexi XPay Build dla WordPressa w wersji od 7.6.1 do 7.6.2 nie weryfikuje, czy żądany zapisany token płatności należy do bieżącego użytkownika. Umożliwia to nieuwierzytelnionym atakującym pobranie odniesień do tokenów kart innych klientów wraz z ważnym podpisem autoryzacyjnym.

Oryginalny opis (angielski, źródło NVD)

The Nexi XPay Build WordPress plugin through 7.6.2 does not verify the payment result supplied to several of its unauthenticated routes, allowing attackers to mark arbitrary orders as paid or failed, to cancel them, and to obtain order keys which expose guest buyers' details.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS