CVE-2026-92429
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Rede Itaú for WooCommerce w wersji przed 5.5.3 nie weryfikuje autentyczności webhooka bramki płatności przed aktualizacją statusu zamówienia. Umożliwia to nieuwierzytelnionym atakującym zmianę statusu dowolnych zamówień WooCommerce, w tym oznaczenie nieopłaconych zamówień jako opłacone oraz anulowanie zrealizowanych zamówień.
Ocena ryzyka
Atakujący może bez logowania manipulować statusami zamówień w sklepie, co prowadzi do strat finansowych, błędnej realizacji zamówień i chaosu w rozliczeniach.
Rekomendacja
Zaktualizuj wtyczkę Rede Itaú for WooCommerce do wersji 5.5.3 lub nowszej. Do czasu aktualizacji rozważ wyłączenie wtyczki lub ograniczenie dostępu do endpointów webhook.
Inne podatności w Rede Itaú for WooCommerce
Zobacz wszystkie- CVE-2026-92428Średnie
Wtyczka WordPress Rede Itaú for WooCommerce w wersji przed 5.5.3 nie weryfikuje autentyczności webhooka bramki płatności przed aktualizacją statusu zamówienia. Umożliwia to nieuwierzytelnionym atakującym zmianę statusu dowolnych zamówień WooCommerce, w tym zamówień już opłaconych lub zrealizowanych.
- CVE-2026-92430Średnie
Wtyczka Rede Itaú for WooCommerce — Payment PIX, Credit Card and Debit dla WordPressa przed wersją 5.4.7 nie weryfikuje autentyczności webhooka płatności PIX przed aktualizacją statusu zamówienia. Pozwala to nieuwierzytelnionym atakującym oznaczyć oczekujące zamówienie jako opłacone bez dokonania płatności.
Oryginalny opis (angielski, źródło NVD)
The Rede Itaú for WooCommerce WordPress plugin before 5.5.3 does not verify the authenticity of a payment gateway webhook before updating an order's status, allowing unauthenticated attackers to change the status of arbitrary WooCommerce orders, including marking unpaid orders as paid and cancelling completed orders.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS