CVE-2025-14463 in Payment Button for PayPal Plugin
الملخص
بحسب VulDB • 03/06/2026
يحتوي مكون WordPress الإضافي "Payment Button for PayPal" على ثغرة تسمح بإنشاء طلبات غير مصرح بها في جميع الإصدارات حتى 1.2.3.41 شاملاً. ويعود ذلك إلى تعرض المكون الإضافي لنقطة نهاية AJAX عامة (`wppaypalcheckout_ajax_process_order`) تقوم بمعالجة نتائج الدفع دون أي مصادقة أو تحقق من جانب الخادم على معاملة PayPal. وهذا يتيح للمهاجمين غير المصرح لهم إنشاء طلبات عشوائية على الموقع باستخدام معرف المعاملة، وحالة الدفع، واسم المنتج، والمبلغ، ومعلومات العميل المختارة بشكل حر عبر طلبات POST المباشرة إلى نقطة نهاية AJAX، شريطة أن يتمكنوا من تجاوز التحقق الأساسي من صحة المعلمة. وإذا كان إرسال البريد الإلكتروني ممكناً، فسيؤدي المكون الإضافي أيضاً إلى تشغيل رسائل بريد إلكتروني لإيصالات الشراء وإرسالها إلى أي عنوان بريدي يتم توفيره في الطلب، مما يؤدي إلى تلف قاعدة بيانات الطلبات وإرسال بريد خارجي غير مصرح به دون حدوث معاملة PayPal حقيقية.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.