CVE-2026-91017
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Wtyczka Robokassa payment gateway dla WooCommerce w wersji przed 1.8.9 nie weryfikuje autentyczności przychodzących powiadomień o płatności, gdy włączona jest jej niedomyślna funkcja odroczonej płatności. Umożliwia to nieuwierzytelnionym atakującym sfałszowanie powiadomienia i oznaczenie dowolnych zamówień WooCommerce jako opłaconych lub wstrzymanych bez dokonania płatności i bez ważnego podpisu.
Ocena ryzyka
Atakujący może bezpłatnie oznaczyć dowolne zamówienie jako opłacone, co prowadzi do strat finansowych i wysyłki towarów bez otrzymania płatności. Ryzyko dotyczy wyłącznie sklepów z włączoną funkcją odroczonej płatności.
Rekomendacja
Zaktualizuj wtyczkę Robokassa payment gateway dla WooCommerce do wersji 1.8.9 lub nowszej. Jeśli funkcja odroczonej płatności nie jest używana, rozważ jej wyłączenie do czasu aktualizacji.
Inne podatności w Robokassa payment gateway for WooCommerce
Zobacz wszystkie- CVE-2026-78536Średnie
Bramka płatności Robokassa dla WooCommerce w wersjach do 1.8.9 włącznie zawiera podatność Broken Access Control, którą może wykorzystać nieuwierzytelniony atakujący. Brak poprawnej kontroli dostępu umożliwia wykonanie nieautoryzowanych operacji.
- CVE-2026-91076Średnie
Wtyczka WordPress Robokassa payment gateway for Woocommerce w wersji przed 1.9.0 nie weryfikuje autentyczności przychodzącego żądania powiadomienia o płatności przed podjęciem działań na zamówieniu w nim wskazanym. Umożliwia to nieuwierzytelnionym atakującym wymuszenie stanu niepowodzenia dowolnego zamówienia WooCommerce; identyfikatory zamówień są sekwencyjne, więc każde zamówienie w sklepie może zostać usunięte z kolejki realizacji pojedynczym żądaniem.
Oryginalny opis (angielski, źródło NVD)
The Robokassa payment gateway for Woocommerce WordPress plugin before 1.8.9 does not verify the authenticity of incoming payment notifications when its non-default deferred-payment feature is enabled, allowing unauthenticated attackers to forge a notification and mark arbitrary WooCommerce orders as paid or on-hold without payment or a valid signature.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS