CVE-2026-16739
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka Epeken All Kurir dla WooCommerce, do wersji 2.1.2 włącznie, nie weryfikuje, czy żądanie potwierdzenia płatności pochodzi od właściciela zamówienia, ani czy płatność faktycznie miała miejsce. Umożliwia to nieuwierzytelnionym atakującym oznaczanie dowolnych zamówień jako potwierdzone, a w nie domyślnej konfiguracji również jako opłacone.
Ocena ryzyka
Atakujący może potwierdzić zamówienia bez dokonania płatności, co prowadzi do strat finansowych dla sklepu. Może to również naruszyć integralność procesu zamówień.
Rekomendacja
Zaktualizuj wtyczkę Epeken All Kurir do najnowszej wersji, która zawiera poprawki bezpieczeństwa. Sprawdź, czy konfiguracja nie pozwala na oznaczanie zamówień jako opłaconych bez weryfikacji.
Oryginalny opis (angielski, źródło NVD)
The Epeken All Kurir for Woocommerce WordPress plugin through 2.1.2 does not verify that a payment-confirmation request originates from the owner of the targeted order, nor that any payment actually occurred, allowing unauthenticated attackers to mark arbitrary orders as confirmed and, in a non-default configuration, paid.