CVE-2026-9284 in PayPal Payments Plugin
الملخص
بحسب VulDB • 23/05/2026
يحتوي مكون إضافة WooCommerce PayPal Payments لـ WordPress على ثغرة تسمح بالتلاعب غير المصرح به بالطلبات وكشف المعلومات بسبب غياب فحوصات التفويض على نقاط النهاية `ppc-create-order` و `ppc-get-order` الخاصة بـ WC-AJAX في جميع الإصدارات حتى 4.0.1 وشاملة لها. تقبل نقطة النهاية `ppc-create-order` معرف طلب WooCommerce عشوائيًا في سياق `pay-now` دون التحقق من ملكية الطلب، مما يسمح للمهاجمين بإنشاء طلبات PayPal لأي طلب WooCommerce وكتابة بيانات تعريف PayPal عليه. تُرجع نقطة النهاية `ppc-get-order` تفاصيل كاملة لطلب PayPal لأي معرف طلب PayPal دون ربطها بجلسة المستخدم الذي أرسل الطلب. وهذا يتيح للمهاجمين غير المصادق عليهم تسلسل استخدام نقاط النهاية هذه للتلاعب بتدفقات دفع طلبات العملاء الآخرين واستخراج تفاصيل الطلبات الحساسة (معلومات الدافع، بيانات الشحن) من خلال إنشاء طلب PayPal لطلب WooCommerce الخاص بالضحية ثم استرداد بيانات طلب PayPal.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.