CVE-2026-96173

ŚrednieCVSS 5.3

Opublikowano: 01/10/2026(UTC)Zaktualizowano: 01/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Streszczenie

Wtyczka WordPress Payments for Hubtel przed wersją 1.0.2 nie weryfikuje, czy żądający jest upoważniony do wyświetlenia zamówienia przed przekierowaniem publicznego żądania callback płatności. Umożliwia to nieuwierzytelnionym atakującym uzyskanie klucza zamówienia i wyświetlenie jego zawartości.

Ocena ryzyka

Nieautoryzowany dostęp do szczegółów zamówień może ujawnić dane klientów, w tym informacje osobowe i szczegóły transakcji. Może to naruszyć prywatność i zaufanie klientów.

Rekomendacja

Należy zaktualizować wtyczkę Payments for Hubtel do wersji 1.0.2 lub nowszej. Zaleca się również sprawdzenie, czy nie doszło do nieautoryzowanego dostępu do zamówień.

Inne podatności w Payments for Hubtel WordPress plugin

CVE-2026-96200Średnie
Wtyczka WordPress Payments for Hubtel przed wersją 1.0.2 nie weryfikuje, czy powiadomienia o płatnościach otrzymane przez callback pochodzą od dostawcy płatności. Umożliwia to nieuwierzytelnionym atakującym oznaczenie dowolnych zamówień jako opłaconych bez dokonania płatności.

Oryginalny opis (angielski, źródło NVD)

The Payments for Hubtel WordPress plugin before 1.0.2 does not verify that the requester is authorized to view an order before redirecting a public payment-callback request, allowing unauthenticated attackers to obtain the order key of an arbitrary order and view its contents.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS