CVE-2026-16621
ŚrednieCVSS 5.3Streszczenie
Wtyczka Payment Gateway for PayPal on WooCommerce dla WordPressa przed wersją 9.2.1 nie weryfikuje, czy płatność faktycznie się powiodła przed ukończeniem zamówienia w swoim handlerze zwrotnym PayPal: czyta parametry kontrolowane przez atakującego, nie wykonuje porównania kwot ani sprawdzenia własności zamówienia i kończy zamówienie nawet wtedy, gdy weryfikacja po stronie serwera nie powiedzie się, co pozwala nieuwierzytelnionemu atakującemu oznaczyć dowolne zamówienia jako opłacone bez płacenia.
Ocena ryzyka
Ryzyko obejmuje realizację zamówień bez płatności, co prowadzi do strat finansowych i nadużyć.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do wersji 9.2.1 lub nowszej oraz wdrożenie weryfikacji statusu płatności i własności zamówienia.
Oryginalny opis (angielski, źródło NVD)
The Payment Gateway for PayPal on WooCommerce WordPress plugin before 9.2.1 does not verify that payment actually succeeded before completing an order in its PayPal return handler: it reads attacker-controlled parameters, performs no amount comparison and no order-ownership check, and completes the order even when the server-side gateway verification fails, allowing an unauthenticated attacker to mark arbitrary orders as paid without paying.