CVE-2026-82213

ŚrednieCVSS 5.3

Opublikowano: 11/09/2026(UTC)Zaktualizowano: 11/09/2026(UTC)Przetłumaczono: 11/09/2026(UTC)NVD NIST

Streszczenie

Wtyczka Nexi XPay Build dla WordPressa w wersji od 7.6.1 do 7.6.2 nie weryfikuje, czy żądany zapisany token płatności należy do bieżącego użytkownika. Umożliwia to nieuwierzytelnionym atakującym pobranie odniesień do tokenów kart innych klientów wraz z ważnym podpisem autoryzacyjnym.

Ocena ryzyka

Atakujący może uzyskać dostęp do tokenów kart płatniczych innych klientów, co może prowadzić do nieautoryzowanych transakcji i kradzieży danych. Stanowi to poważne naruszenie prywatności i bezpieczeństwa finansowego.

Rekomendacja

Zaktualizuj wtyczkę Nexi XPay Build do wersji nowszej niż 7.6.2. Sprawdź, czy wtyczka weryfikuje własność tokenów płatności przed ich użyciem.

Inne podatności w Nexi XPay Build WordPress plugin

CVE-2026-82211Wysokie
Wtyczka Nexi XPay Build dla WordPressa do wersji 7.6.2 nie weryfikuje wyniku płatności dostarczonego do kilku nieuwierzytelnionych tras, co pozwala atakującym oznaczać dowolne zamówienia jako opłacone lub nieudane, anulować je oraz uzyskiwać klucze zamówień ujawniające dane gości.

Oryginalny opis (angielski, źródło NVD)

The Nexi XPay Build WordPress plugin from 7.6.1 to 7.6.2 does not verify that the saved payment token being requested belongs to the current user, allowing unauthenticated attackers to retrieve other customers' stored card token references together with a valid authorisation signature.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS