CVE-2026-92400
ŚrednieCVSS 5.3Streszczenie
Wtyczka WordPress Payment Gateway for PayPal on WooCommerce w wersji przed 9.2.1 nie weryfikuje, czy przychodzące powiadomienie o płatności zostało potwierdzone w skonfigurowanym środowisku płatności sklepu ani czy wpłata trafiła na konto merchant sklepu, zanim oznaczy zamówienie jako zakończone. Umożliwia to nieuwierzytelnionym użytkownikom oznaczenie własnych zamówień jako opłaconych przy użyciu prawdziwej transakcji z kontrolowanego przez nich sandboxa płatności.
Ocena ryzyka
Atakujący może uzyskać towary lub usługi bez dokonania rzeczywistej płatności, co prowadzi do strat finansowych i nadużyć w sklepie. Ryzyko dotyczy każdego sklepu WooCommerce korzystającego z tej wtyczki.
Rekomendacja
Zaktualizuj wtyczkę Payment Gateway for PayPal on WooCommerce do wersji 9.2.1 lub nowszej. Zweryfikuj, czy wtyczka poprawnie sprawdza środowisko płatności i konto merchant przed oznaczeniem zamówienia jako opłacone.
Inne podatności w Payment Gateway for PayPal on WooCommerce
Zobacz wszystkie- CVE-2026-59547Wysokie
Wtyczka Payment Gateway for PayPal on WooCommerce w wersji do 9.1.4 zawiera podatność na nieuwierzytelniony złamany dostęp do kontroli (Broken Access Control). Niezalogowany atakujący może ominąć mechanizmy autoryzacji i uzyskać nieuprawniony dostęp do funkcji lub danych.
- CVE-2026-16621Średnie
Wtyczka Payment Gateway for PayPal on WooCommerce dla WordPressa przed wersją 9.2.1 nie weryfikuje, czy płatność faktycznie się powiodła przed ukończeniem zamówienia w swoim handlerze zwrotnym PayPal: czyta parametry kontrolowane przez atakującego, nie wykonuje porównania kwot ani sprawdzenia własności zamówienia i kończy zamówienie nawet wtedy, gdy weryfikacja po stronie serwera nie powiedzie się, co pozwala nieuwierzytelnionemu atakującemu oznaczyć dowolne zamówienia jako opłacone bez płacenia.
Oryginalny opis (angielski, źródło NVD)
The Payment Gateway for PayPal on WooCommerce WordPress plugin before 9.2.1 does not verify that an incoming payment notification was confirmed in the store's configured payment environment or paid to the store's own merchant account before marking an order complete, allowing unauthenticated users to mark their own orders as paid using a genuine transaction from a payment sandbox they control.