CVE-2026-84044

ŚrednieCVSS 5.3

Opublikowano: 04/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 04/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.12%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Restaurant Menu and Food Ordering przed wersją 2.4.12 nie weryfikuje, czy powiadomienie o płatności PayPal rzeczywiście pochodzi od PayPal, co pozwala nieuwierzytelnionym atakującym sfałszować powiadomienie i oznaczyć własne zamówienie jako opłacone i zrealizowane bez dokonania płatności.

Ocena ryzyka

Ryzyko strat finansowych i oszustw związanych z zamówieniami, ponieważ atakujący mogą otrzymać produkty lub usługi bez płacenia.

Rekomendacja

Zaktualizuj wtyczkę do wersji 2.4.12 lub nowszej, która zawiera poprawkę weryfikacji pochodzenia powiadomień PayPal.

Inne podatności w Restaurant Menu and Food Ordering

CVE-2026-96568Wysokie
Wtyczka Restaurant Menu and Food Ordering dla WordPressa (do wersji 2.4.14 włącznie) jest podatna na przechowywany cross-site scripting (XSS) poprzez parametr 'phone_number' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.

Oryginalny opis (angielski, źródło NVD)

The Restaurant Menu and Food Ordering WordPress plugin before 2.4.12 does not verify that a PayPal payment notification genuinely originates from PayPal, allowing unauthenticated attackers to forge a payment notification and mark their own order as paid and completed without making any payment.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS