WooCommerce PayPal Pro Payment Gateway: bypass de pagamento (CVE-2026-127204)
Foi reportada a vulnerabilidade CVE-2026-127204 (CVSS 8.7) no plugin WooCommerce PayPal Pro Payment Gateway. O manipulador AJAX pp_capture_order é protegido apenas por um nonce público do checkout e não valida o status nem o valor da resposta de captura do PayPal.
Verificado no Shield: não
Quem é afetado
Lojas WooCommerce com WooCommerce PayPal Pro Payment Gateway em versões anteriores à 4.1.1. O ataque é remoto e não autenticado: um pedido não pago pode ser marcado como pago.
Como verificar
No painel do WordPress, abra Plugins e encontre WooCommerce PayPal Pro Payment Gateway. Se a versão for inferior a 4.1.1, o plugin está vulnerável.
Como corrigir
Há correção disponível: atualize o plugin para a versão 4.1.1 ou posterior.
O que o Shield verifica não é verificado
Verificado pelo Shield: não. Normalmente isso não aparece de fora ou a verificação ainda não foi adicionada; reunimos esses casos e adicionamos verificações em lotes.
Bom saber
A fonte (NVD) não informa se a falha é explorada em ataques reais; isso ainda não foi divulgado.
