CVE-2026-92428
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Rede Itaú for WooCommerce w wersji przed 5.5.3 nie weryfikuje autentyczności webhooka bramki płatności przed aktualizacją statusu zamówienia. Umożliwia to nieuwierzytelnionym atakującym zmianę statusu dowolnych zamówień WooCommerce, w tym zamówień już opłaconych lub zrealizowanych.
Ocena ryzyka
Atakujący może bez logowania modyfikować statusy zamówień, co może prowadzić do błędnej realizacji, strat finansowych i niezgodności w rozliczeniach.
Rekomendacja
Zaktualizuj wtyczkę Rede Itaú for WooCommerce do wersji 5.5.3 lub nowszej. Do czasu aktualizacji rozważ wyłączenie wtyczki lub ograniczenie dostępu do endpointów webhook.
Inne podatności w Rede Itaú for WooCommerce
Zobacz wszystkie- CVE-2026-92429Średnie
Wtyczka WordPress Rede Itaú for WooCommerce w wersji przed 5.5.3 nie weryfikuje autentyczności webhooka bramki płatności przed aktualizacją statusu zamówienia. Umożliwia to nieuwierzytelnionym atakującym zmianę statusu dowolnych zamówień WooCommerce, w tym oznaczenie nieopłaconych zamówień jako opłacone oraz anulowanie zrealizowanych zamówień.
- CVE-2026-92430Średnie
Wtyczka Rede Itaú for WooCommerce — Payment PIX, Credit Card and Debit dla WordPressa przed wersją 5.4.7 nie weryfikuje autentyczności webhooka płatności PIX przed aktualizacją statusu zamówienia. Pozwala to nieuwierzytelnionym atakującym oznaczyć oczekujące zamówienie jako opłacone bez dokonania płatności.
Oryginalny opis (angielski, źródło NVD)
The Rede Itaú for WooCommerce WordPress plugin before 5.5.3 does not verify the authenticity of a payment gateway webhook before updating an order's status, allowing unauthenticated attackers to change the status of arbitrary WooCommerce orders, including orders that were already paid or completed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS