WooCommerce PayPal Pro Payment Gateway: evasión de pago (CVE-2026-127204)
Se reportó la vulnerabilidad CVE-2026-127204 (CVSS 8.7) en el plugin WooCommerce PayPal Pro Payment Gateway. El manejador AJAX pp_capture_order está protegido solo por un nonce público del checkout y no valida el estado ni el monto de la respuesta de captura de PayPal.
Revisado en Shield: no
Quién está afectado
Tiendas WooCommerce con WooCommerce PayPal Pro Payment Gateway en versiones anteriores a 4.1.1. El ataque es remoto y sin autenticación: un pedido sin pagar puede marcarse como pagado.
Cómo comprobar
En el administrador de WordPress abre Plugins y busca WooCommerce PayPal Pro Payment Gateway. Si la versión es inferior a 4.1.1, el plugin es vulnerable.
Cómo corregirlo
Hay una corrección disponible: actualiza el plugin a la versión 4.1.1 o posterior.
Qué comprueba Shield no se comprueba
Comprobado por Shield: no. Normalmente esto no se ve desde fuera o la comprobación aún no se ha añadido; reunimos estos casos y añadimos comprobaciones por lotes.
Conviene saber
La fuente (NVD) no indica si la vulnerabilidad se explota activamente; aún no se ha divulgado.
