Easy Digital Downloads: omisión de autenticación mediante el pago con PayPal (CVE-2026-120538)
Se encontró una vulnerabilidad (CVSS 8.1) en el plugin Easy Digital Downloads de WordPress. Durante un pago como invitado con PayPal, el pedido se asocia a un usuario existente por coincidencia de correo y después se emite una sesión autenticada para ese usuario.
Revisado en Shield: no
Quién está afectado
Todas las versiones de Easy Digital Downloads hasta la 3.7.2 incluida. Un atacante sin autenticar puede usar el correo de un administrador que no tenga registro de cliente en EDD y completar un pago con PayPal para obtener una sesión de administrador.
Cómo comprobar
En el panel de WordPress, abre Plugins y mira la versión instalada de Easy Digital Downloads. La versión 3.7.2 o inferior está afectada.
Cómo corregirlo
La fuente no indica una versión corregida. Está atento a una actualización del desarrollador e instala una versión posterior a la 3.7.2 cuando esté disponible.
Qué comprueba Shield no se comprueba
Comprobado en Shield: no. Normalmente esto no se ve desde el exterior, o la comprobación aún no se ha añadido; reunimos estos casos y añadimos comprobaciones por lotes.
Conviene saber
Aún no se divulgan el estado de explotación ni el número de la versión corregida; la fuente es la entrada de NVD.
