CVE-2026-9242: Błąd uwierzytelniania w wtyczce RegistrationMagic dla WordPress

Co wiadomo

Wtyczka RegistrationMagic dla WordPress do wersji 6.0.8.6 posiada lukę umożliwiającą obejście uwierzytelniania poprzez niewystarczającą weryfikację autentyczności danych w obsłudze PayPal IPN. Atakujący może podszyć się pod dowolnego użytkownika, w tym administratora, wysyłając sfałszowane żądanie IPN, które modyfikuje wpis w bazie danych przed weryfikacją PayPal.

Wpływ biznesowy

Luka pozwala na nieautoryzowane uzyskanie dostępu do kont użytkowników WordPress, co może prowadzić do przejęcia kontroli nad stroną, eskalacji uprawnień i potencjalnego naruszenia danych. Operatorzy stron korzystających z tej wtyczki powinni traktować zagrożenie poważnie, zwłaszcza jeśli wtyczka jest aktywnie używana do obsługi rejestracji i płatności.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki RegistrationMagic u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji AJAX obsługujących PayPal IPN, monitorować logi pod kątem podejrzanych żądań oraz rozważyć tymczasowe wyłączenie funkcji płatności, jeśli to możliwe. Priorytetem jest szybka weryfikacja i łatanie tej luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference