CVE-2026-94260

ŚrednieCVSS 5.3

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Wtyczka Sifalo Pay dla WordPressa przed wersją 2.5.3 nie weryfikuje własności ani autoryzacji zamówienia aktualizowanego podczas obsługi zwrotu płatności, co pozwala nieuwierzytelnionym atakującym zapisywać dowolne metadane sesji płatności na dowolnym zamówieniu i wymuszać stan niepowodzenia dla zamówień oczekujących na płatność.

Ocena ryzyka

Atakujący może manipulować danymi zamówień i wymuszać ich niepowodzenie, co prowadzi do zakłóceń operacyjnych i potencjalnych strat finansowych.

Rekomendacja

Zaktualizuj wtyczkę Sifalo Pay do wersji 2.5.3 lub nowszej, która zawiera poprawkę.

Inne podatności w Sifalo Pay WordPress plugin

CVE-2026-94261Średnie
Wtyczka Sifalo Pay dla WordPressa przed wersją 2.5.3 nie weryfikuje, czy identyfikator transakcji płatności należy do potwierdzanego zamówienia, ani czy żądający jest właścicielem tego zamówienia, co pozwala nieuwierzytelnionym atakującym posiadającym jeden ważny identyfikator transakcji z własnej płatności na oznaczenie dowolnych oczekujących zamówień jako opłaconych.

Oryginalny opis (angielski, źródło NVD)

The Sifalo Pay WordPress plugin before 2.5.3 does not verify ownership of, or authorisation for, the order being updated when it handles a payment return, allowing unauthenticated attackers to write arbitrary payment session metadata onto any order in the store and to force any order awaiting payment into a failed state.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS