CVE-2026-94261

ŚrednieCVSS 5.3

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Wtyczka Sifalo Pay dla WordPressa przed wersją 2.5.3 nie weryfikuje, czy identyfikator transakcji płatności należy do potwierdzanego zamówienia, ani czy żądający jest właścicielem tego zamówienia, co pozwala nieuwierzytelnionym atakującym posiadającym jeden ważny identyfikator transakcji z własnej płatności na oznaczenie dowolnych oczekujących zamówień jako opłaconych.

Ocena ryzyka

Atakujący może fałszywie potwierdzać płatności dla dowolnych zamówień, co prowadzi do strat finansowych i naruszenia integralności procesu zamówień.

Rekomendacja

Zaktualizuj wtyczkę Sifalo Pay do wersji 2.5.3 lub nowszej, która zawiera poprawkę.

Inne podatności w Sifalo Pay WordPress plugin

CVE-2026-94260Średnie
Wtyczka Sifalo Pay dla WordPressa przed wersją 2.5.3 nie weryfikuje własności ani autoryzacji zamówienia aktualizowanego podczas obsługi zwrotu płatności, co pozwala nieuwierzytelnionym atakującym zapisywać dowolne metadane sesji płatności na dowolnym zamówieniu i wymuszać stan niepowodzenia dla zamówień oczekujących na płatność.

Oryginalny opis (angielski, źródło NVD)

The Sifalo Pay WordPress plugin before 2.5.3 does not verify that a payment transaction identifier belongs to the order it is confirming, nor that the requester owns that order, allowing unauthenticated attackers holding one valid transaction identifier from a payment of their own to mark arbitrary pending orders as paid.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS