CVE-2026-87981
ŚrednieCVSS 4.7Streszczenie
Wtyczka WordPress Paymob for WooCommerce w wersji przed 4.1.14 nie wykonuje sprawdzenia uprawnień w kilku akcjach AJAX panelu administracyjnego zarządzających konfiguracją bramki płatności. Użytkownicy z poziomem współtwórcy mogą usuwać, kasować lub modyfikować tę konfigurację, w tym przechowywane dane uwierzytelniające płatności.
Ocena ryzyka
Atakujący może uszkodzić lub zmodyfikować konfigurację bramki płatności oraz wykraść dane uwierzytelniające, co może prowadzić do nadużyć finansowych. Ryzyko jest wysokie ze względu na wrażliwość danych płatniczych.
Rekomendacja
Zaktualizuj wtyczkę Paymob for WooCommerce do wersji 4.1.14 lub nowszej. Natychmiast zmień dane uwierzytelniające bramki płatności i sprawdź logi pod kątem nieautoryzowanych zmian.
Inne podatności w Paymob for WooCommerce
Zobacz wszystkie- CVE-2026-87978Średnie
Wtyczka Paymob for WooCommerce dla WordPressa przed wersją 4.1.14 nie weryfikuje podpisu żądania w jednej gałęzi webhooka płatności, co pozwala nieuwierzytelnionym atakującym oznaczać dowolne zamówienia WooCommerce jako opłacone bez żadnej płatności.
- CVE-2026-87979Średnie
Wtyczka WordPress Paymob for WooCommerce w wersji przed 4.1.14 nie weryfikuje podpisu żądania w gałęzi card-token swojego webhooka płatności. Nieuwierzytelnieni atakujący mogą zapisać rekord tokenu karty na dowolnym koncie użytkownika oraz enumerować zarejestrowane konta.
- CVE-2026-66611Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce Paymob for WooCommerce w wersjach do 4.1.10 włącznie. Atakujący może wstrzyknąć złośliwy skrypt bez logowania.
- CVE-2026-56025Wysokie
Wtyczka Paymob for WooCommerce w wersji 4.1.2 i starszych zawiera podatność na nieuwierzytelniony, uszkodzony mechanizm kontroli dostępu. Osoba atakująca bez uwierzytelnienia może wykorzystać tę lukę do nieautoryzowanego dostępu do funkcji wtyczki.
Oryginalny opis (angielski, źródło NVD)
The Paymob for WooCommerce WordPress plugin before 4.1.14 does not perform a capability check on several admin AJAX actions that manage its payment-gateway configuration, allowing users with contributor-level access to delete, wipe, or modify that configuration, including the stored payment credentials.