CVE-2026-82844

ŚrednieCVSS 5.3

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Streszczenie

Wtyczka WPForms Lite dla WordPressa przed wersją 2.0.2.2 nie weryfikuje po stronie serwera, czy płatność została zakończona przed przyjęciem zgłoszenia w formularzach korzystających z bramki PayPal Commerce. Umożliwia to nieuwierzytelnionym odwiedzającym wysyłanie płatnych formularzy bez płacenia, a potwierdzenie i e-maile powiadamiające są wysyłane mimo braku zamówienia u dostawcy płatności.

Ocena ryzyka

Organizacja może otrzymywać fałszywe zgłoszenia i wysyłać potwierdzenia bez otrzymania płatności, co prowadzi do strat finansowych i błędnych danych.

Rekomendacja

Zaktualizuj wtyczkę WPForms Lite do wersji 2.0.2.2 lub nowszej, która zawiera poprawkę weryfikacji płatności po stronie serwera.

Inne podatności w WPForms Lite WordPress plugin

CVE-2026-84744Średnie
Wtyczka WPForms Lite dla WordPress w wersjach od 1.5.0.1 do 2.0.2 nie usuwa delimiterów shortcode'ów z wartości pól przesłanych przez użytkownika przed zapisaniem ich z powrotem do renderowanego formularza. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnych shortcode'ów zarejestrowanych w witrynie oraz odczyt szczegółów załączników należących do niepublicznych wpisów.

Oryginalny opis (angielski, źródło NVD)

The WPForms Lite WordPress plugin before 2.0.2.2 does not verify server-side that a payment was completed before accepting a submission on forms using its PayPal Commerce gateway, allowing unauthenticated visitors to submit paid forms without paying. The form's confirmation is delivered and its notification emails are sent even though no order exists at the payment provider and no payment is recorded.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS