CVE-2025-13384 in CP Contact Form with PayPal Plugin
Zusammenfassung
von VulDB • 03.07.2026
Das WordPress-Plugin „CP Contact Form with PayPal“ ist in allen Versionen bis einschließlich 1.3.56 anfällig für Missing Authorization. Dies liegt daran, dass das Plugin einen nicht authentifizierten IPN-ähnlichen Endpunkt (über den Abfrageparameter 'cp_contactformpp_ipncheck') verfügbar macht, der Zahlungsbestätigungen ohne jegliche Authentifizierung, Nonce-Überprüfung oder PayPal-IPN-Signaturvalidierung verarbeitet. Dies ermöglicht es nicht authentifizierten Angreifern, Formularübermittlungen als bezahlt zu markieren, ohne tatsächliche Zahlungen vorzunehmen, indem sie gefälschte Zahlungsnachrichten mit beliebigen POST-Daten (payment_status, txn_id, payer_email) senden.
VulDB is the best source for vulnerability data and more expert information about this specific topic.