Easy Digital Downloads: obejście uwierzytelniania przez PayPal (CVE-2026-120538)
W wtyczce Easy Digital Downloads dla WordPressa wykryto podatność (CVSS 8.1). Podczas zamówienia gościnnego przez PayPal zamówienie jest wiązane z istniejącym użytkownikiem na podstawie adresu email, a następnie wydawana jest sesja tego użytkownika.
Sprawdzane w Shield: nie
Kogo dotyczy
Wszystkie wersje Easy Digital Downloads do 3.7.2 włącznie. Nieuwierzytelniony atakujący może podać email administratora, który nie ma rekordu klienta EDD, i ukończyć płatność PayPal, aby uzyskać sesję administratora.
Jak sprawdzić u siebie
W panelu WordPress otwórz „Wtyczki” i sprawdź wersję Easy Digital Downloads. Wersja 3.7.2 lub niższa jest podatna.
Jak naprawić
Źródło nie podaje wersji naprawionej. Śledź aktualizacje wtyczki od twórcy i zainstaluj wydanie nowsze niż 3.7.2, gdy będzie dostępne.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Informacje o wykorzystaniu podatności i numer wersji naprawionej nie zostały jeszcze ujawnione; źródło to wpis NVD.
