Easy Digital Downloads: обход аутентификации через PayPal (CVE-2026-120538)
В плагине Easy Digital Downloads для WordPress найдена уязвимость (CVSS 8.1). При гостевой оплате через PayPal заказ привязывается к существующему пользователю по email, после чего выдаётся сессия этого пользователя.
Проверяется в Shield: нет
Кого касается
Все версии Easy Digital Downloads до 3.7.2 включительно. Риск касается случая, когда атакующий указывает email администратора, у которого нет записи клиента EDD, и проходит оплату через PayPal. Это даёт сессию администратора.
Как проверить у себя
В админ-панели WordPress откройте «Плагины» и посмотрите версию Easy Digital Downloads. Версия 3.7.2 или ниже попадает под уязвимость.
Как исправить
В источнике исправленная версия не указана. Следите за обновлениями плагина у разработчика и установите выпуск выше 3.7.2, когда он появится.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Данные об эксплуатации уязвимости и номер исправленной версии пока не раскрыты; источник — запись NVD.
