WooCommerce PayPal Pro Payment Gateway: obejście płatności (CVE-2026-127204)
W wtyczce WooCommerce PayPal Pro Payment Gateway wykryto podatność CVE-2026-127204 (CVSS 8.7). Handler AJAX pp_capture_order jest chroniony tylko publicznym nonce kasy i nie weryfikuje statusu ani kwoty odpowiedzi capture z PayPal.
Sprawdzane w Shield: nie
Kogo dotyczy
Sklepy WooCommerce z wtyczką WooCommerce PayPal Pro Payment Gateway w wersji poniżej 4.1.1. Atak jest zdalny i nieuwierzytelniony: nieopłacone zamówienie można oznaczyć jako opłacone.
Jak sprawdzić u siebie
W panelu WordPress otwórz Wtyczki i znajdź WooCommerce PayPal Pro Payment Gateway. Jeśli wersja jest niższa niż 4.1.1, wtyczka jest podatna.
Jak naprawić
Poprawka jest dostępna: zaktualizuj wtyczkę do wersji 4.1.1 lub nowszej.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Źródło (NVD) nie podaje, czy podatność jest wykorzystywana w atakach; nie zostało to jeszcze ujawnione.
