CVE-2026-110292

ŚrednieCVSS 6.5

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 28/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress PayPlug for WooCommerce (Official) przed wersją 3.1.1 nie weryfikuje, czy żądający jest właścicielem zamówienia WooCommerce wskazanego w żądaniu płatności. Nieuwierzytelnieni użytkownicy mogą ujawnić klucz zamówienia innego klienta i anulować jego nieopłacone zamówienie gościa.

Ocena ryzyka

Atakujący może ujawnić dane zamówienia innego klienta oraz anulować jego nieopłacone zamówienie, co może prowadzić do strat i naruszenia poufności.

Rekomendacja

Zaktualizuj wtyczkę PayPlug for WooCommerce (Official) do wersji 3.1.1 lub nowszej.

Inne podatności w PayPlug for WooCommerce (Official)

CVE-2026-113813Średnie
Wtyczka PayPlug for WooCommerce (Official) w wersjach przed 3.1.1 nie wykonuje kontroli uprawnień ani własności w zestawie nieuwierzytelnionych akcji AJAX operujących na identyfikatorze zamówienia dostarczonym przez wywołującego. Umożliwia to nieuwierzytelnionym atakującym modyfikowanie, odczyt zawartości i trwałe usuwanie dowolnych zamówień WooCommerce.

Oryginalny opis (angielski, źródło NVD)

The PayPlug for WooCommerce (Official) WordPress plugin before 3.1.1 does not verify that the requester owns the WooCommerce order named in a payment request, allowing unauthenticated users to disclose another customer's order key and cancel their unpaid guest order.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS