CVE-2026-89100
ŚrednieCVSS 6.1Streszczenie
Wtyczka Payment Plugins for Stripe WooCommerce dla WordPressa jest podatna na Reflected Cross-Site Scripting poprzez fragment URL '#response' we wszystkich wersjach do 4.0.17 włącznie, z powodu niewystarczającej dezynfekcji danych wejściowych i braku odpowiedniego escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wykorzystanie wymaga, aby ustawienie 'Generic Errors' było odznaczone, co powoduje, że funkcja getErrorMessage() zwraca niezmieniony surowy ciąg błędu Stripe zamiast podstawić zmapowany bezpieczny komunikat.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwych skryptów, które wykonają się w przeglądarce ofiary, prowadząc do kradzieży danych, przejęcia sesji lub innych ataków. Ryzyko jest szczególnie wysokie, jeśli użytkownicy klikają w złośliwe linki.
Rekomendacja
Zaleca się aktualizację wtyczki Payment Plugins for Stripe WooCommerce do najnowszej wersji z poprawką. Należy również upewnić się, że ustawienie 'Generic Errors' jest włączone, aby uniemożliwić wykorzystanie tej luki.
Inne podatności w Payment Plugins for Stripe WooCommerce
Zobacz wszystkie- CVE-2026-80339Średnie
Wtyczka Payment Plugins for Stripe WooCommerce przed wersją 4.0.12 nie weryfikuje klucza zamówienia przed dodaniem danych zamówienia do konfiguracji JavaScript wyświetlanej na froncie. Pozwala to nieuwierzytelnionym użytkownikom uzyskać dane rozliczeniowe dowolnego zamówienia oraz sekret kontrolujący dostęp do niego, poprzez iterację sekwencyjnych identyfikatorów zamówień.
- CVE-2026-12654Średnie
Wtyczka Payment Plugins for Stripe WooCommerce dla WordPressa do wersji 4.0.7 włącznie nie weryfikuje poprawnie uprawnień użytkownika. Niezautoryzowany atakujący może oznaczyć dowolne oczekujące zamówienie WooCommerce jako opłacone, fałszując zdarzenie charge.pending z kontrolowanymi danymi, co prowadzi do wywołania payment_complete() i realizacji zamówienia. Luka jest wykorzystywalna tylko gdy pole webhook_secret_test lub webhook_secret_live pozostawiono puste (domyślnie).
Oryginalny opis (angielski, źródło NVD)
The Payment Plugins for Stripe WooCommerce plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via '#response' URL Fragment in all versions up to, and including, 4.0.17 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires that the 'Generic Errors' setting is unchecked, causing getErrorMessage() to return the raw Stripe error string unchanged rather than substituting a mapped safe message.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS