CVE-2026-83537

ŚrednieCVSS 5.3

Opublikowano: 09/09/2026(UTC)Zaktualizowano: 09/09/2026(UTC)Przetłumaczono: 09/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.11%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

Wtyczka WP Express Checkout dla WordPressa przed wersją 2.5.0 nie weryfikuje po stronie serwera, czy płatność została faktycznie zakończona przed oznaczeniem zamówienia jako opłaconego. Pozwala to nieuwierzytelnionym użytkownikom na sfałszowanie zrealizowanego zamówienia bez płacenia.

Ocena ryzyka

Organizacja może ponosić straty finansowe z powodu fałszywych zamówień oznaczonych jako opłacone. Może to również prowadzić do wysyłki towarów lub świadczenia usług bez otrzymania zapłaty.

Rekomendacja

Zaleca się aktualizację wtyczki WP Express Checkout do wersji 2.5.0 lub nowszej. Należy również wdrożyć dodatkowe mechanizmy weryfikacji płatności po stronie serwera.

Inne podatności w WP Express Checkout

CVE-2026-96818Wysokie
Wtyczka WP Express Checkout (Accept PayPal Payments) w wersjach do 2.4.9 włącznie zawiera podatność Broken Access Control. Może ją wykorzystać nieuwierzytelniony atakujący.

Oryginalny opis (angielski, źródło NVD)

The WP Express Checkout WordPress plugin before 2.5.0 does not verify server-side that a payment was actually completed before marking an order as paid, allowing unauthenticated users to forge a completed order without paying.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS