CVE-2026-96200

ŚrednieCVSS 5.3

Opublikowano: 01/10/2026(UTC)Zaktualizowano: 01/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Streszczenie

Wtyczka WordPress Payments for Hubtel przed wersją 1.0.2 nie weryfikuje, czy powiadomienia o płatnościach otrzymane przez callback pochodzą od dostawcy płatności. Umożliwia to nieuwierzytelnionym atakującym oznaczenie dowolnych zamówień jako opłaconych bez dokonania płatności.

Ocena ryzyka

Atakujący może oznaczyć zamówienia jako opłacone bez rzeczywistej płatności, co prowadzi do strat finansowych i oszustw. Ryzyko dotyczy każdej witryny korzystającej z tej wtyczki.

Rekomendacja

Należy zaktualizować wtyczkę Payments for Hubtel do wersji 1.0.2 lub nowszej. Zaleca się także audyt zamówień oznaczonych jako opłacone w celu wykrycia nadużyć.

Inne podatności w Payments for Hubtel WordPress plugin

CVE-2026-96173Średnie
Wtyczka WordPress Payments for Hubtel przed wersją 1.0.2 nie weryfikuje, czy żądający jest upoważniony do wyświetlenia zamówienia przed przekierowaniem publicznego żądania callback płatności. Umożliwia to nieuwierzytelnionym atakującym uzyskanie klucza zamówienia i wyświetlenie jego zawartości.

Oryginalny opis (angielski, źródło NVD)

The Payments for Hubtel WordPress plugin before 1.0.2 does not verify that payment notifications received by its payment callback come from the payment provider, allowing unauthenticated attackers to mark arbitrary orders as paid without payment.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS