Уразливість обходу перевірки замовлень у Easy Digital Downloads для WordPress (CVE-2025-11271)

Що відомо

Плагін Easy Digital Downloads для WordPress у версіях до 3.5.2 включно має уразливість обходу перевірки замовлень через параметр verification_override=1 у POST-запиті. Це дозволяє неавторизованому зловмиснику підробити IPN-повідомлення та обробити його як підтверджене, якщо він має обліковий запис клієнта та дійсний PayPal transaction ID.

Бізнес-вплив

Уразливість може призвести до маніпуляцій із замовленнями, що створює ризики для власників інтернет-магазинів на базі WordPress із Easy Digital Downloads. Зловмисник може підтвердити підроблені транзакції, що впливає на точність обробки замовлень і фінансові операції. Це може спричинити фінансові втрати та порушення довіри клієнтів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Easy Digital Downloads та встановити останні версії, якщо вони доступні. Якщо оновлення неможливе, слід обмежити доступ до функцій обробки IPN, переглянути журнали транзакцій на предмет підозрілої активності та посилити контроль облікових записів клієнтів. Також варто розглянути тимчасове відключення плагіна або функцій, що обробляють IPN, до усунення вразливості.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference