WooCommerce PayPal Pro Payment Gateway: обхід оплати (CVE-2026-127204)
У плагіні WooCommerce PayPal Pro Payment Gateway знайдено вразливість CVE-2026-127204 (CVSS 8.7). Обробник AJAX pp_capture_order захищений лише публічним nonce чекауту й не перевіряє статус та суму capture-відповіді PayPal.
Перевіряється в Shield: ні
Кого стосується
Магазини на WooCommerce з плагіном WooCommerce PayPal Pro Payment Gateway версії нижче 4.1.1. Атака віддалена, без авторизації: неоплачене замовлення можна позначити оплаченим.
Як перевірити в себе
В адмінці WordPress відкрийте розділ «Плагіни» та знайдіть WooCommerce PayPal Pro Payment Gateway. Якщо версія нижче 4.1.1, плагін вразливий.
Як виправити
Виправлення є: оновіть плагін до версії 4.1.1 або новішої.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Даних про використання вразливості в реальних атаках у джерелі (NVD) немає, це поки не розкрито.
