CVE-2026-17008
ŚrednieCVSS 5.3Streszczenie
Wtyczka Quick Paypal Payments dla WordPressa do wersji 5.7.50 nie weryfikuje zapłaconej kwoty, odbiorcy ani statusu płatności w swoim handlerze PayPal IPN i oznacza zamówienie jako opłacone na podstawie samego dopasowania tokenu zamówienia, więc kupujący, który płaci dowolną małą kwotę, może mieć zamówienie o pełnej cenie oznaczone jako opłacone.
Ocena ryzyka
Ryzyko obejmuje straty finansowe dla sklepu, ponieważ zamówienia mogą być realizowane bez pełnej zapłaty, co prowadzi do utraty przychodów.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji oraz wdrożenie weryfikacji kwoty, odbiorcy i statusu płatności w handlerze IPN.
Oryginalny opis (angielski, źródło NVD)
The Quick Paypal Payments WordPress plugin through 5.7.50 does not verify the paid amount, receiver, or payment status in its PayPal IPN handler and marks an order paid on an order-token match alone, so a buyer who pays an arbitrary small amount can have a full-price order marked paid.