CVE-2026-9284
Təsvir
WordPress üçün WooCommerce PayPal Payments plagini, 4.0.1 daxil olmaqla bütün versiyalarda `ppc-create-order` və `ppc-get-order` WC-AJAX son nöqtələrində (endpoints) avtorizasiya yoxlamalarının olmaması səbəbindən icazəsiz sifariş manipulyasiyasına və məlumat sızmasına qarşı həssasdır. `ppc-create-order` son nöqtəsi, sifariş mülkiyyətini təsdiqləmədən `pay-now` kontekstində istənilən WooCommerce sifariş ID-sini qəbul edir ki, bu da hücumçulara hər hansı bir WC sifarişi üçün PayPal sifarişi yaratmağa və ona PayPal metadata yazmağa imkan verir. `ppc-get-order` son nöqtəsi isə sorğu göndərənin sessiyasına bağlı olmadan, istənilən PayPal sifariş ID-si üçün tam PayPal sifariş detallarını qaytarır. Bu, autentifikasiya olunmamış hücumçuların həmin son nöqtələri birləşdirərək digər müştərilərin sifariş ödəniş axınlarını manipulyasiya etməsinə və qurbanın WC sifarişi üçün PayPal sifarişi yaradıb sonra PayPal sifariş məlumatlarını əldə etməklə həssas sifariş detallarının (ödəyici məlumatları, çatdırılma məlumatları) sızdırılmasına şərait yaradır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| woocommerce WooCommerce PayPal Payments | v ≤ 4.0.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.