CVE-2026-92996
ŚrednieCVSS 5.3Streszczenie
Wtyczka Verge3D dla WordPress w wersjach od 4.1.0 do 4.13.0 nie weryfikuje u dostawcy płatności, czy płatność została faktycznie dokonana, ani nie sprawdza właściciela zamówienia. Umożliwia to nieuwierzytelnionym użytkownikom oznaczenie dowolnego zamówienia jako opłacone.
Ocena ryzyka
Nieuwierzytelniony atakujący może oznaczyć dowolne zamówienie jako opłacone, co prowadzi do strat finansowych i realizacji niezapłaconych zamówień. Podatność nie wymaga logowania, co zwiększa ryzyko masowego wykorzystania.
Rekomendacja
Zaktualizuj wtyczkę Verge3D do wersji nowszej niż 4.13.0, jeśli producent wydał poprawkę, lub tymczasowo wyłącz wtyczkę. Wdróż dodatkową weryfikację płatności po stronie serwera.
Powiązane podatności
- CVE-2022-29966Krytyczne
System Emerson Ovation zawiera kilka protokołów pozbawionych uwierzytelniania. Umożliwia to atakującemu zmianę konfiguracji kontrolera lub wywołanie warunku odmowy usługi (DoS).
- CVE-2026-22058Krytyczne
StorageGRID w wersjach 11.3 i nowszych pozwala atakującemu posiadającemu wiedzę o produkcie oraz możliwość komunikacji z siecią Grid Network na określonych portach na wysyłanie nieautoryzowanych żądań.
- CVE-2026-120931Krytyczne
Podatność typu out-of-bounds write w WebGL w Google Chrome na Androidzie w wersjach przed 156.0.8078.47 pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-112354Krytyczne
Interfejs webowy stacji ładowania Etrel INCH AC w wersjach firmware przed 7.1.2 i 8.0.1 zawiera podatność na wbudowane domyślne poświadczenia, co pozwala zdalnym atakującym uzyskać pełny dostęp administratora poprzez logowanie się na fabryczne konto. Atakujący mogą zalogować się przez nieszyfrowany HTTP, aby uzyskać pełną konfigurację ładowarki, tożsamość OCPP ChargePoint oraz szczegóły połączenia CSMS WebSocket, umożliwiając nieautoryzowaną kontrolę administracyjną nad stacją ładowania.
- CVE-2026-95860Krytyczne
W bibliotece node-opcua (implementacja OPC UA dla TypeScript i Node.js) w wersjach od 2.42.0 do 2.180.0 kontrola dostępu na poziomie przestrzeni nazw skonfigurowana przez setDefaultRolePermissions nie jest respektowana dla węzłów bez jawnych uprawnień. Metoda SessionContext.getApplicableRolePermissions odczytuje brakującą lub pustą wartość zamiast skonfigurowanego pola, a wynik null jest traktowany jako zezwolenie. Anonimowy klient sieciowy może w konsekwencji zapisywać zmienne lub wywoływać metody, gdy operator polegał na restrykcyjnych ustawieniach domyślnych.
- CVE-2026-82158Krytyczne
Dell Wyse Management Suite w wersjach przed 2609.0.0.155 zawiera podatność typu cross-site scripting (niewłaściwa neutralizacja danych wejściowych podczas generowania strony). Niskouprzywilejowany atakujący z dostępem zdalnym może wykorzystać tę lukę do wstrzyknięcia skryptu.
- CVE-2026-121249Krytyczne
W Google Chrome przed wersją 157.0.8103.38 występuje przepełnienie bufora w komponencie ANGLE. Zdalny atakujący może wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-121247Krytyczne
W Google Chrome na systemie Android przed wersją 157.0.8103.38 występuje przepełnienie bufora w komponencie Dawn. Zdalny atakujący może potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-121246Krytyczne
Podatność use-after-free w komponencie WebGL przeglądarki Google Chrome na Androidzie w wersjach przed 157.0.8103.38. Zdalny atakujący może potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
- CVE-2026-121241Krytyczne
Podatność use-after-free w komponencie Navigation przeglądarki Google Chrome na Androidzie w wersjach przed 157.0.8103.38. Zdalny atakujący może potencjalnie wykonać dowolny kod poza piaskownicą za pomocą spreparowanej strony HTML.
Oryginalny opis (angielski, źródło NVD)
The Verge3D WordPress plugin from 4.1.0 through 4.13.0 does not verify with the payment provider that a payment was actually made, and does not check order ownership, allowing unauthenticated users to mark any order as paid.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS