CVE-2026-9028
ŚrednieCVSS 5.3Streszczenie
Wtyczka CorvusPay WooCommerce Payment Gateway dla WordPressa w wersjach do 2.7.4 włącznie zawiera lukę w autoryzacji, która pozwala nieuwierzytelnionym atakującym na anulowanie dowolnego zamówienia WooCommerce złożonego za pomocą metody płatności CorvusPay. Atak jest możliwy poprzez podanie dowolnego numeru zamówienia do endpointu REST /wp-json/corvuspay/cancel/.
Ocena ryzyka
Ryzyko polega na możliwości jednostronnego anulowania zamówień przez nieuprawnione osoby, co może prowadzić do strat finansowych, zakłócenia procesu realizacji zamówień oraz utraty zaufania klientów.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki CorvusPay WooCommerce Payment Gateway do najnowszej dostępnej wersji, która usuwa tę podatność. Do czasu aktualizacji należy rozważyć tymczasowe wyłączenie endpointu REST /wp-json/corvuspay/cancel/ za pomocą reguł zapory aplikacyjnej (WAF).
Inne podatności w CorvusPay WooCommerce Payment Gateway
Zobacz wszystkie- CVE-2026-9027Średnie
Wtyczka CorvusPay WooCommerce Payment Gateway dla WordPressa do wersji 2.7.4 włącznie zawiera podatność umożliwiającą ominięcie płatności. Funkcja `corvuspay_success_handler` rejestruje endpoint REST `POST /wp-json/corvuspay/success/` bez wymaganego uwierzytelnienia, a wynik walidacji podpisu kryptograficznego nie jest sprawdzany warunkowo, co pozwala na oznaczenie dowolnego oczekującego zamówienia jako opłaconego.
- CVE-2026-6939Wysokie
Wtyczka CorvusPay WooCommerce Payment Gateway dla WordPressa do wersji 2.7.4 zawiera podatność na przechowywany atak XSS przez parametr 'approval_code'. Brak odpowiedniej sanitizacji wejścia i eskapowania wyjścia umożliwia nieuwierzytelnionemu atakującemu wstrzyknięcie dowolnego skryptu, który wykona się przy dostępie do zainfekowanej strony. Dodatkowo, endpoint REST POST /wp-json/corvuspay/success/ jest dostępny bez uwierzytelnienia, a walidacja podpisu nie zatrzymuje wykonania, co pozwala na zapisanie złośliwego kodu w bazie danych.
- CVE-2026-56029Wysokie
Wtyczka CorvusPay WooCommerce Payment Gateway w wersji 2.7.4 i starszych zawiera podatność na złamanie uwierzytelniania bez wymaganego logowania. Osoba atakująca może wykorzystać tę lukę bez posiadania konta w systemie.
Oryginalny opis (angielski, źródło NVD)
The CorvusPay WooCommerce Payment Gateway plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 2.7.4. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to cancel any WooCommerce order placed via the CorvusPay payment method by supplying an arbitrary order number to the /wp-json/corvuspay/cancel/ REST endpoint.