PT-2026-44772 · WordPress · Contact Form 7 – Paypal & Stripe Add-On
Muni Nitish Kumar Yaddala
+1
·
Publicado
2026-05-29
·
Atualizado
2026-05-29
·
CVE-2026-9189
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Contact Form 7 – PayPal & Stripe Add-on versões anteriores a 2.5.0
Descrição
O plugin está sujeito a um bypass de pagamento devido à verificação insuficiente da autenticidade dos dados. Embora a função
cf7pp paypal ipn handler() valide a autenticidade do IPN enviando os dados de volta ao PayPal com cmd= notify-validate, ela não verifica se os campos mc gross (valor do pagamento), mc currency ou receiver email no payload do IPN correspondem aos valores do pedido armazenados. Em vez disso, o campo invoice, controlado pelo invasor, é passado diretamente para cf7pp complete payment(), que marca o pedido como concluído após apenas uma conversão para inteiro, sem verificação do valor. Isso permite que invasores não autenticados marquem pedidos pendentes de alto valor como pagos, realizando um pagamento mínimo e criando um IPN onde o parâmetro invoice referencia o pedido pretendido.Recomendações
Atualize o plugin para uma versão posterior a 2.4.9.
Correção
Insufficient Verification of Data Authenticity
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Contact Form 7 – Paypal & Stripe Add-On