CVE-2026-9189: Luka w wtyczce Contact Form 7 – PayPal & Stripe Add-on umożliwia ominięcie płatności

Co wiadomo

Wtyczka Contact Form 7 – PayPal & Stripe Add-on dla WordPressa do wersji 2.4.9 ma lukę pozwalającą na ominięcie płatności poprzez niewystarczającą weryfikację autentyczności danych IPN. Atakujący mogą oznaczyć wysokowartościowe zamówienia jako opłacone, dokonując minimalnej płatności i manipulując parametrem invoice.

Wpływ biznesowy

Ta luka umożliwia nieautoryzowanym osobom sfinalizowanie zamówień bez faktycznej zapłaty pełnej kwoty, co może prowadzić do strat finansowych i nadużyć w systemie e-commerce. Operatorzy IT i właściciele infrastruktury powinni traktować tę podatność jako istotne zagrożenie dla integralności procesów płatności online.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć ekspozycję usługi, monitorować logi transakcji pod kątem podejrzanych aktywności oraz priorytetyzować działania naprawcze związane z tym problemem.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference