Easy Digital Downloads: обхід автентифікації через PayPal (CVE-2026-120538)
У плагіні Easy Digital Downloads для WordPress знайдено вразливість (CVSS 8.1). Під час гостьової оплати через PayPal замовлення прив'язується до наявного користувача за email, після чого видається сесія цього користувача.
Перевіряється в Shield: ні
Кого стосується
Усі версії Easy Digital Downloads до 3.7.2 включно. Ризик стосується випадку, коли атакувальник вказує email адміністратора без запису клієнта EDD і проходить оплату через PayPal. Це дає сесію адміністратора.
Як перевірити в себе
В адмінпанелі WordPress відкрийте «Плагіни» й перегляньте версію Easy Digital Downloads. Версія 3.7.2 або нижче підпадає під вразливість.
Як виправити
У джерелі виправлену версію не зазначено. Стежте за оновленнями плагіна від розробника та встановіть випуск вище за 3.7.2, коли він з'явиться.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Дані про експлуатацію вразливості та номер виправленої версії поки не розкрито; джерело — запис NVD.
