CVE-2026-90923
NieznaneStreszczenie
Wtyczka Autopay w wersji przed 5.0.1 nie wymusza weryfikacji podpisu w jednym ze swoich callbacków płatności. Umożliwia to nieuwierzytelnionym użytkownikom ujawnienie i usunięcie przechowywanych parametrów płatności zamówień innych klientów.
Ocena ryzyka
Atakujący może uzyskać dostęp do danych płatności innych klientów i je usunąć, co może prowadzić do naruszenia prywatności i zakłócenia procesu zamówień. Ryzyko dotyczy poufności i integralności danych płatniczych.
Rekomendacja
Zaktualizuj wtyczkę Autopay do wersji 5.0.1 lub nowszej. Sprawdź, czy nie doszło do nieautoryzowanego dostępu do parametrów płatności.
Inne podatności w Autopay
Zobacz wszystkie- CVE-2026-73338Wysokie
Podatność Cross Site Scripting (XSS) bez uwierzytelnienia w Autopay w wersjach do 5.0.0. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
- CVE-2026-14293Wysokie
Wtyczka Autopay dla WordPressa przed wersją 5.0.1 nie przeprowadza żadnej kontroli uprawnień ani nonce przed zapisaniem opcji stylowania z publicznego żądania, a także nie escapuje tej wartości, gdy jest później wypisywana na stronie kasy, co pozwala nieuwierzytelnionym atakującym na przechowywanie JavaScriptu, który wykonuje się w przeglądarce każdego użytkownika, w tym administratorów, którzy ładują stronę kasy.
Oryginalny opis (angielski, źródło NVD)
The Autopay WordPress plugin before 5.0.1 does not enforce the signature on one of its payment callbacks, allowing unauthenticated users to disclose and delete the stored payment parameters of other customers' orders.