CVE-2026-94273

ŚrednieCVSS 5.3

Opublikowano: 19/10/2026(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Snap Finance do wersji 3.11.0 włącznie nie weryfikuje, czy odpowiedź dostawcy płatności faktycznie potwierdza zakończoną i zatwierdzoną transakcję, przed oznaczeniem zamówienia WooCommerce jako opłacone. Pozwala to niezalogowanym atakującym oznaczyć dowolne zamówienia jako opłacone bez dokonania płatności.

Ocena ryzyka

Atakujący może oznaczać zamówienia jako opłacone bez płatności, co prowadzi do strat finansowych i fałszowania stanu zamówień. Ryzyko dotyczy sklepów WooCommerce korzystających z tej wtyczki.

Rekomendacja

Zaktualizuj wtyczkę Snap Finance do wersji nowszej niż 3.11.0. Zweryfikuj historię zamówień pod kątem nieautoryzowanych zmian statusu płatności.

Inne podatności w Snap Finance WordPress plugin

CVE-2026-94272Średnie
Wtyczka WordPress Snap Finance przed wersją 3.12.0 nie weryfikuje, czy żądanie zmiany statusu zamówienia WooCommerce pochodzi z autoryzowanego źródła. Umożliwia to nieuwierzytelnionym atakującym zmianę dowolnego zamówienia na status opłaconego lub wymuszenie jego niepowodzenia.

Oryginalny opis (angielski, źródło NVD)

The Snap Finance WordPress plugin through 3.11.0 does not verify that the payment provider's response actually confirms a completed, approved transaction before marking a WooCommerce order as paid, allowing unauthenticated attackers to mark arbitrary orders as paid without completing payment.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS