CVE-2026-93511
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Premium Packages dla WordPress w wersji przed 7.2.1 nie weryfikuje podpisu webhooka PayPal przed przetworzeniem powiadomień o płatnościach i subskrypcjach. Umożliwia to nieuwierzytelnionym atakującym fałszowanie potwierdzeń płatności i zdarzeń anulowania subskrypcji dla dowolnego zamówienia, którego identyfikator transakcji znają.
Ocena ryzyka
Atakujący może sfałszować potwierdzenia płatności lub anulować subskrypcje, co może prowadzić do strat finansowych, nieautoryzowanego dostępu do treści premium lub zakłócenia usług. Stanowi to poważne zagrożenie dla integralności transakcji.
Rekomendacja
Zaktualizuj wtyczkę Premium Packages do wersji 7.2.1 lub nowszej, która weryfikuje podpis webhooka PayPal. Rozważ monitorowanie nietypowych zdarzeń płatności i subskrypcji.
Inne podatności w Premium Packages
Zobacz wszystkie- CVE-2026-15348Średnie
Wtyczka Premium Packages – Sell Digital Products Securely dla WordPressa w wersjach do 7.0.4 zawiera podatność na ominięcie uwierzytelnienia przez parametr 'wpdmppdl', umożliwiającą nieuwierzytelnionym atakującym zalogowanie się jako dowolny nieadministrator (np. subskrybent, klient, autor) posiadający zamówienie, poprzez dekodowanie parametru bez weryfikacji HMAC lub podpisu.
- CVE-2026-118184Średnie
Wtyczka WordPress Premium Packages w wersji przed 7.2.2 nie zapobiega nadpisaniu przez nieuwierzytelnionych odwiedzających zapisanej ceny produktów w koszyku. Umożliwia im tworzenie zamówień na dowolny produkt po dowolnie wybranej cenie.
- CVE-2026-18586Wysokie
Wtyczka Premium Packages – Sell Digital Products Securely dla WordPressa jest podatna na nieuwierzytelnione trwałe skrypty cross-site (Stored XSS) poprzez parametr 'order_email' we wszystkich wersjach do 7.0.5 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-103478Średnie
Wtyczka Premium Packages – Sell Digital Products Securely dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'checkout[billing][phone]' (oraz state / taxid / email) we wszystkich wersjach do 7.2.6 włącznie. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.
- CVE-2026-19711Średnie
Wtyczka Premium Packages dla WordPressa przed wersją 7.0.7 nie weryfikuje żądania wypłaty z rzeczywistym saldem użytkownika, co pozwala każdemu uwierzytelnionemu użytkownikowi, w tym subskrybentowi bez żadnych sprzedaży, na złożenie wniosku o wypłatę dowolnej kwoty, którą administrator może następnie zatwierdzić i wypłacić.
Oryginalny opis (angielski, źródło NVD)
The Premium Packages WordPress plugin before 7.2.1 does not verify PayPal's webhook signature before processing payment and subscription notifications, allowing unauthenticated attackers to forge payment confirmations and subscription-cancellation events against any order whose transaction id they know.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS