كل الثغرات
CVE-2026-104641
عالية
CVSS 7.5
Simple Shopping Cart < 5.3.3 – تجاوز الدفع بدون مصادقة بسبب عدم التحقق من مستلم إشعار PayPal IPN
| المورّد | Tips and Tricks HQ |
|---|---|
| المنتج | Simple Shopping Cart |
| النسخ المتأثرة | < 5.3.3 |
| صنف الضعف | CWE-345 |
| متجه CVSS | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
| تاريخ الإبلاغ | 2026-10-10 |
| تاريخ الإفصاح | 2026-10-19 |
| الحالة | منشورة |
الإضافة، بإعداداتها الافتراضية، لا تتحقق إن إشعار PayPal IPN الواصل يخص دفعة استلمها حساب PayPal مالك الموقع. يستطيع مهاجم بدون تسجيل دخول يدفع لحساب PayPal يملكه هو، ويضع الإشعار يتقبل، فينعلم طلبه بالمتجر كمدفوع.
الأثر
يستطيع المهاجم ياخذ منتجات أو خدمات بدون ما يدفع لصاحب المتجر، وهذا يسبب خسارة مالية مباشرة ويخرب سجلات الطلبات والمبيعات.
إفصاحات ذات صلة
متوسطة
Elementor < 4.3.5 – ثغرة XSS مخزنة لصلاحية Contributor فما فوق عبر تجاوز معقم SVG باستخدام CDATA
منخفضة
Code Snippets قبل الإصدار 3.10.0 – تفعيل وتعطيل وإعادة ترتيب الشيفرات على مستوى الشبكة من قبل مدير موقع فرعي
منخفضة
The Events Calendar 6.15.16.1 – 6.17.4.1 – استغلال مسارات REST من نوع by-slug لتعديل وحذف والاستيلاء على ملكية الأحداث والأماكن والمنظمين بواسطة Contributor+
متوسطة
Kirki من 6.0.0 إلى 6.3.0 – ثغرة XSS مخزنة عبر رفع ملفات SVG غير معقمة (صلاحية Author فما فوق)
عرض الكل