WooCommerce PayPal Pro Payment Gateway: обход оплаты (CVE-2026-127204)
В плагине WooCommerce PayPal Pro Payment Gateway найдена уязвимость CVE-2026-127204 (CVSS 8.7). Обработчик AJAX pp_capture_order защищён только публичным nonce чекаута и не проверяет статус и сумму capture-ответа PayPal.
Проверяется в Shield: нет
Кого касается
Магазины на WooCommerce с плагином WooCommerce PayPal Pro Payment Gateway версии ниже 4.1.1. Атака удалённая, без авторизации: неоплаченный заказ можно пометить оплаченным.
Как проверить у себя
В админке WordPress откройте раздел «Плагины» и найдите WooCommerce PayPal Pro Payment Gateway. Если версия ниже 4.1.1, плагин уязвим.
Как исправить
Исправление есть: обновите плагин до версии 4.1.1 или новее.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Данных об использовании уязвимости в реальных атаках в источнике (NVD) нет, это пока не раскрыто.
