CVE-2026-87978
ŚrednieCVSS 5.3Streszczenie
Wtyczka Paymob for WooCommerce dla WordPressa przed wersją 4.1.14 nie weryfikuje podpisu żądania w jednej gałęzi webhooka płatności, co pozwala nieuwierzytelnionym atakującym oznaczać dowolne zamówienia WooCommerce jako opłacone bez żadnej płatności.
Ocena ryzyka
Atakujący mogą fałszywie oznaczać zamówienia jako opłacone, co prowadzi do strat finansowych i naruszenia integralności procesu zamówień.
Rekomendacja
Zaktualizuj wtyczkę Paymob for WooCommerce do wersji 4.1.14 lub nowszej, która zawiera poprawkę.
Inne podatności w Paymob for WooCommerce
Zobacz wszystkie- CVE-2026-87981Średnie
Wtyczka WordPress Paymob for WooCommerce w wersji przed 4.1.14 nie wykonuje sprawdzenia uprawnień w kilku akcjach AJAX panelu administracyjnego zarządzających konfiguracją bramki płatności. Użytkownicy z poziomem współtwórcy mogą usuwać, kasować lub modyfikować tę konfigurację, w tym przechowywane dane uwierzytelniające płatności.
- CVE-2026-87979Średnie
Wtyczka WordPress Paymob for WooCommerce w wersji przed 4.1.14 nie weryfikuje podpisu żądania w gałęzi card-token swojego webhooka płatności. Nieuwierzytelnieni atakujący mogą zapisać rekord tokenu karty na dowolnym koncie użytkownika oraz enumerować zarejestrowane konta.
- CVE-2026-66611Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Paymob for WooCommerce w wersjach do 4.1.10 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-56025Wysokie
Wtyczka Paymob for WooCommerce w wersji 4.1.2 i starszych zawiera podatność na nieuwierzytelniony, uszkodzony mechanizm kontroli dostępu. Osoba atakująca bez uwierzytelnienia może wykorzystać tę lukę do nieautoryzowanego dostępu do funkcji wtyczki.
Oryginalny opis (angielski, źródło NVD)
The Paymob for WooCommerce WordPress plugin before 4.1.14 does not verify the request signature on one branch of its payment webhook, allowing unauthenticated attackers to mark arbitrary WooCommerce orders as paid without any payment.