CVE-2026-93580

ŚrednieCVSS 5.3

Opublikowano: 30/09/2026(UTC)Zaktualizowano: 30/09/2026(UTC)Przetłumaczono: 30/09/2026(UTC)NVD NIST

Streszczenie

Wtyczka InPost PL dla WordPressa przed wersją 1.9.8 nie weryfikuje autentyczności przychodzących żądań webhook dotyczących przesyłek, polegając jedynie na niejawnym identyfikatorze i kontroli IP, która nie jest egzekwowana, co pozwala nieuwierzytelnionym atakującym, którzy znają numer śledzenia przesyłki, na sfałszowanie jej statusu i przedwczesne oznaczenie zamówienia jako zrealizowanego.

Ocena ryzyka

Atakujący mogą manipulować statusami zamówień, co może prowadzić do fałszywych realizacji zamówień, strat finansowych i utraty zaufania klientów.

Rekomendacja

Zaleca się aktualizację wtyczki InPost PL do wersji 1.9.8 lub nowszej oraz wdrożenie silnego uwierzytelniania webhooków, np. podpisywania żądań.

Inne podatności w InPost PL WordPress plugin

CVE-2026-9702Wysokie
Wtyczka InPost PL dla WordPressa przed wersją 1.9.1 nie weryfikuje, czy żądanie pochodzi od uprawnionego nabywcy, co pozwala nieautoryzowanym atakującym na ciche przekierowanie miejsca dostawy zamówienia WooCommerce.

Oryginalny opis (angielski, źródło NVD)

The InPost PL WordPress plugin before 1.9.8 does not verify the authenticity of incoming shipment webhook requests, relying only on a non-secret identifier and an IP check that is not enforced, allowing unauthenticated attackers who know a target order's parcel tracking number to forge its shipment status and prematurely mark the order completed.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS