CVE-2026-9027
ŚrednieCVSS 5.3Streszczenie
Wtyczka CorvusPay WooCommerce Payment Gateway dla WordPressa do wersji 2.7.4 włącznie zawiera podatność umożliwiającą ominięcie płatności. Funkcja `corvuspay_success_handler` rejestruje endpoint REST `POST /wp-json/corvuspay/success/` bez wymaganego uwierzytelnienia, a wynik walidacji podpisu kryptograficznego nie jest sprawdzany warunkowo, co pozwala na oznaczenie dowolnego oczekującego zamówienia jako opłaconego.
Ocena ryzyka
Nieuwierzytelniony atakujący może oznaczyć dowolne oczekujące zamówienie WooCommerce jako opłacone, wysyłając żądanie POST z dowolnym lub sfałszowanym podpisem, co umożliwia otrzymanie towarów lub usług bez płatności. Ponieważ identyfikatory zamówień WooCommerce są sekwencyjnymi liczbami całkowitymi, atakujący może łatwo wyliczyć docelowe zamówienia.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę CorvusPay WooCommerce Payment Gateway do najnowszej dostępnej wersji, która usuwa tę podatność. Do czasu aktualizacji zaleca się tymczasowe wyłączenie wtyczki lub zastosowanie reguł WAF blokujących dostęp do endpointu `/wp-json/corvuspay/success/`.
Inne podatności w CorvusPay WooCommerce Payment Gateway
Zobacz wszystkie- CVE-2026-9028Średnie
Wtyczka CorvusPay WooCommerce Payment Gateway dla WordPressa w wersjach do 2.7.4 włącznie zawiera lukę w autoryzacji, która pozwala nieuwierzytelnionym atakującym na anulowanie dowolnego zamówienia WooCommerce złożonego za pomocą metody płatności CorvusPay. Atak jest możliwy poprzez podanie dowolnego numeru zamówienia do endpointu REST /wp-json/corvuspay/cancel/.
- CVE-2026-6939Wysokie
Wtyczka CorvusPay WooCommerce Payment Gateway dla WordPressa do wersji 2.7.4 zawiera podatność na przechowywany atak XSS przez parametr 'approval_code'. Brak odpowiedniej sanitizacji wejścia i eskapowania wyjścia umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie dowolnego skryptu, który wykona się przy dostępie do zainfekowanej strony. Dodatkowo, endpoint REST POST /wp-json/corvuspay/success/ jest dostępny bez uwierzytelnienia, a walidacja podpisu nie zatrzymuje wykonania, co pozwala na zapisanie złośliwego kodu w bazie danych.
- CVE-2026-56029Wysokie
Wtyczka CorvusPay WooCommerce Payment Gateway w wersji 2.7.4 i starszych zawiera podatność na złamanie uwierzytelniania bez wymaganego logowania. Osoba atakująca może wykorzystać tę lukę bez posiadania konta w systemie.
Oryginalny opis (angielski, źródło NVD)
The CorvusPay WooCommerce Payment Gateway plugin for WordPress is vulnerable to Payment Bypass via Improper Verification of Cryptographic Signature in all versions up to, and including, 2.7.4. The `corvuspay_success_handler` function registers the REST endpoint `POST /wp-json/corvuspay/success/` with `'permission_callback' => '__return_true'`, and while it calls `$this->client->validate->signature()` and stores the boolean result in `$res`, the result is never evaluated in a conditional — it is only written to the debug log — causing execution to unconditionally reach `$order->payment_complete()` regardless of whether the cryptographic signature is valid. This makes it possible for unauthenticated attackers to mark any pending WooCommerce order as fully paid by sending a POST request to the success endpoint containing an arbitrary or forged signature value, allowing them to obtain goods or services without payment. Because WooCommerce order IDs are sequential integers, target orders are trivially enumerable via the `order_number` POST parameter, requiring no prior knowledge of the victim order.