CVE-2026-87979
ŚrednieCVSS 5.3Streszczenie
Wtyczka WordPress Paymob for WooCommerce w wersji przed 4.1.14 nie weryfikuje podpisu żądania w gałęzi card-token swojego webhooka płatności. Nieuwierzytelnieni atakujący mogą zapisać rekord tokenu karty na dowolnym koncie użytkownika oraz enumerować zarejestrowane konta.
Ocena ryzyka
Atakujący może powiązać token karty z cudzym kontem, co może prowadzić do nieautoryzowanych płatności lub nadużyć, a także enumerować konta użytkowników. Ryzyko jest wysokie ze względu na charakter danych płatniczych.
Rekomendacja
Zaktualizuj wtyczkę Paymob for WooCommerce do wersji 4.1.14 lub nowszej. Sprawdź, czy nie doszło do nieautoryzowanego zapisu tokenów kart i rozważ audyt kont.
Inne podatności w Paymob for WooCommerce
Zobacz wszystkie- CVE-2026-87978Średnie
Wtyczka Paymob for WooCommerce dla WordPressa przed wersją 4.1.14 nie weryfikuje podpisu żądania w jednej gałęzi webhooka płatności, co pozwala nieuwierzytelnionym atakującym oznaczać dowolne zamówienia WooCommerce jako opłacone bez żadnej płatności.
- CVE-2026-87981Średnie
Wtyczka WordPress Paymob for WooCommerce w wersji przed 4.1.14 nie wykonuje sprawdzenia uprawnień w kilku akcjach AJAX panelu administracyjnego zarządzających konfiguracją bramki płatności. Użytkownicy z poziomem współtwórcy mogą usuwać, kasować lub modyfikować tę konfigurację, w tym przechowywane dane uwierzytelniające płatności.
- CVE-2026-66611Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Paymob for WooCommerce w wersjach do 4.1.10 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-56025Wysokie
Wtyczka Paymob for WooCommerce w wersji 4.1.2 i starszych zawiera podatność na nieuwierzytelniony, uszkodzony mechanizm kontroli dostępu. Osoba atakująca bez uwierzytelnienia może wykorzystać tę lukę do nieautoryzowanego dostępu do funkcji wtyczki.
Oryginalny opis (angielski, źródło NVD)
The Paymob for WooCommerce WordPress plugin before 4.1.14 does not verify the request signature on the card-token branch of its payment webhook, allowing unauthenticated attackers to write a card-token record to any user's account and to enumerate registered accounts.