CVE-2026-113813

ŚrednieCVSS 6.5

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 28/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka PayPlug for WooCommerce (Official) w wersjach przed 3.1.1 nie wykonuje kontroli uprawnień ani własności w zestawie nieuwierzytelnionych akcji AJAX operujących na identyfikatorze zamówienia dostarczonym przez wywołującego. Umożliwia to nieuwierzytelnionym atakującym modyfikowanie, odczyt zawartości i trwałe usuwanie dowolnych zamówień WooCommerce.

Ocena ryzyka

Atakujący bez logowania może modyfikować, odczytywać i usuwać zamówienia klientów, co prowadzi do wycieku danych osobowych i zakłóceń w sprzedaży. Może to mieć poważne konsekwencje biznesowe i prawne (RODO).

Rekomendacja

Zaktualizuj wtyczkę PayPlug for WooCommerce do wersji 3.1.1 lub nowszej. Sprawdź integralność zamówień i przejrzyj logi pod kątem nieautoryzowanych operacji.

Inne podatności w PayPlug for WooCommerce (Official)

CVE-2026-110292Średnie
Wtyczka WordPress PayPlug for WooCommerce (Official) przed wersją 3.1.1 nie weryfikuje, czy żądający jest właścicielem zamówienia WooCommerce wskazanego w żądaniu płatności. Nieuwierzytelnieni użytkownicy mogą ujawnić klucz zamówienia innego klienta i anulować jego nieopłacone zamówienie gościa.

Oryginalny opis (angielski, źródło NVD)

The PayPlug for WooCommerce (Official) WordPress plugin before 3.1.1 does not perform any capability or ownership check on a set of unauthenticated AJAX actions that operate on a caller-supplied order identifier, allowing unauthenticated attackers to modify, read the contents of, and permanently delete arbitrary WooCommerce orders.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS