CVE-2026-93511
ŚrednieCVSS 5.3Streszczenie
Wtyczka Premium Packages dla WordPress w wersji przed 7.2.1 nie weryfikuje podpisu webhooka PayPal przed przetworzeniem powiadomień o płatnościach i subskrypcjach. Umożliwia to nieuwierzytelnionym atakującym fałszowanie potwierdzeń płatności i zdarzeń anulowania subskrypcji dla dowolnego zamówienia, którego identyfikator transakcji znają.
Ocena ryzyka
Atakujący może sfałszować potwierdzenia płatności lub anulować subskrypcje, co może prowadzić do strat finansowych, nieautoryzowanego dostępu do treści premium lub zakłócenia usług. Stanowi to poważne zagrożenie dla integralności transakcji.
Rekomendacja
Zaktualizuj wtyczkę Premium Packages do wersji 7.2.1 lub nowszej, która weryfikuje podpis webhooka PayPal. Rozważ monitorowanie nietypowych zdarzeń płatności i subskrypcji.
Inne podatności w Premium Packages
Zobacz wszystkie- CVE-2026-15348Średnie
Wtyczka Premium Packages – Sell Digital Products Securely dla WordPressa w wersjach do 7.0.4 zawiera podatność na ominięcie uwierzytelnienia przez parametr 'wpdmppdl', umożliwiającą nieuwierzytelnionym atakującym zalogowanie się jako dowolny nieadministrator (np. subskrybent, klient, autor) posiadający zamówienie, poprzez dekodowanie parametru bez weryfikacji HMAC lub podpisu.
- CVE-2026-19711Średnie
Wtyczka Premium Packages dla WordPressa przed wersją 7.0.7 nie weryfikuje żądania wypłaty z rzeczywistym saldem użytkownika, co pozwala każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi bez żadnych sprzedaży, na złożenie wniosku o wypłatę dowolnej kwoty, którą administrator może następnie zatwierdzić i wypłacić.
Oryginalny opis (angielski, źródło NVD)
The Premium Packages WordPress plugin before 7.2.1 does not verify PayPal's webhook signature before processing payment and subscription notifications, allowing unauthenticated attackers to forge payment confirmations and subscription-cancellation events against any order whose transaction id they know.