CVE-2026-16990
ŚrednieCVSS 5.3Streszczenie
Wtyczka Payment Button for PayPal dla WordPressa do wersji 1.2.3.44 nie egzekwuje po stronie serwera ceny skonfigurowanej przez sprzedawcę i ufa kwocie płatności dostarczonej przez klienta, co pozwala nieuwierzytelnionym atakującym na utworzenie prawdziwego zamówienia PayPal wobec sprzedawcy na dowolną niższą kwotę.
Ocena ryzyka
Ryzyko obejmuje straty finansowe, ponieważ atakujący mogą płacić mniej niż ustalona cena, co prowadzi do niedopłat i utraty przychodów.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji oraz wdrożenie weryfikacji ceny po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
The Payment Button for PayPal WordPress plugin through 1.2.3.44 does not enforce the merchant-configured price server-side and trusts a client-supplied payment amount, allowing unauthenticated attackers to create a real PayPal order against the merchant for an arbitrary lower amount.