CVE-2026-91017

NiskieCVSS 3.7

Opublikowano: 17/09/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 17/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.10%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

Wtyczka Robokassa payment gateway dla WooCommerce w wersji przed 1.8.9 nie weryfikuje autentyczności przychodzących powiadomień o płatności, gdy włączona jest jej niedomyślna funkcja odroczonej płatności. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie powiadomienia i oznaczenie dowolnych zamówień WooCommerce jako opłaconych lub wstrzymanych bez dokonania płatności i bez ważnego podpisu.

Ocena ryzyka

Atakujący może bezpłatnie oznaczyć dowolne zamówienie jako opłacone, co prowadzi do strat finansowych i wysyłki towarów bez otrzymania płatności. Ryzyko dotyczy wyłącznie sklepów z włączoną funkcją odroczonej płatności.

Rekomendacja

Zaktualizuj wtyczkę Robokassa payment gateway dla WooCommerce do wersji 1.8.9 lub nowszej. Jeśli funkcja odroczonej płatności nie jest używana, rozważ jej wyłączenie do czasu aktualizacji.

Inne podatności w Robokassa payment gateway for WooCommerce

CVE-2026-78536Średnie
Bramka płatności Robokassa dla WooCommerce w wersjach do 1.8.9 włącznie zawiera podatność Broken Access Control, którą może wykorzystać nieuwierzytelniony atakujący. Brak poprawnej kontroli dostępu umożliwia wykonanie nieautoryzowanych operacji.

Oryginalny opis (angielski, źródło NVD)

The Robokassa payment gateway for Woocommerce WordPress plugin before 1.8.9 does not verify the authenticity of incoming payment notifications when its non-default deferred-payment feature is enabled, allowing unauthenticated attackers to forge a notification and mark arbitrary WooCommerce orders as paid or on-hold without payment or a valid signature.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS