CVE-2026-94270

ŚrednieCVSS 5.3

Opublikowano: 06/10/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 06/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Wtyczka Deema Payment Gateway dla WordPressa do wersji 1.1.2 nie weryfikuje autentyczności przychodzących powiadomień od dostawcy płatności i domyślnie ma wyłączoną tę weryfikację. Pozwala to nieuwierzytelnionym atakującym na oznaczenie nieopłaconego zamówienia jako opłaconego lub anulowanie/zwrócenie istniejącego zamówienia.

Ocena ryzyka

Ryzyko obejmuje możliwość manipulacji statusami zamówień, co może prowadzić do strat finansowych i naruszenia integralności procesu zamówień.

Rekomendacja

Zaleca się aktualizację wtyczki Deema Payment Gateway do wersji z poprawką oraz włączenie weryfikacji autentyczności powiadomień.

Inne podatności w Deema Payment Gateway

CVE-2026-94271Średnie
Wtyczka Deema Payment Gateway dla WordPressa do wersji 1.1.2 nie weryfikuje płatności u dostawcy płatności podczas obsługi powrotu z hostowanego checkoutu oraz nie sprawdza statusu ani kwoty płatności. Umożliwia to nieuwierzytelnionym użytkownikom oznaczenie zamówień jako opłaconych bez dokonania jakiejkolwiek płatności.

Oryginalny opis (angielski, źródło NVD)

The Deema Payment Gateway WordPress plugin through 1.1.2 does not verify the authenticity of incoming payment provider notifications, and ships with that verification disabled by default, allowing unauthenticated attackers to mark an unpaid order as paid, or to cancel or refund an existing order.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS