CVE-2025-14463 in Payment Button for PayPal Plugin
Zusammenfassung
von VulDB • 03.06.2026
Das WordPress-Plugin „Payment Button for PayPal“ ist in allen Versionen bis einschließlich 1.2.3.41 anfällig für die unbefugte Erstellung von Bestellungen. Dies liegt daran, dass das Plugin einen öffentlichen AJAX-Endpunkt (`wppaypalcheckout_ajax_process_order`) bereitstellt, der Checkout-Ergebnisse ohne jegliche Authentifizierung oder serverseitige Überprüfung der PayPal-Transaktion verarbeitet. Dadurch ist es nicht authentifizierten Angreifern möglich, beliebte Bestellungen auf der Website mit einer beliebig gewählten Transaktions-ID, einem Zahlungstatus, einem Produktnamen, einem Betrag oder Kundeninformationen zu erstellen, indem sie direkte POST-Anfragen an den AJAX-Endpunkt senden, vorausgesetzt, sie können die grundlegende Parametervalidierung umgehen. Wenn das Senden von E-Mails aktiviert ist, löst das Plugin zudem Bestellbestätigungs-E-Mails an jede im Antrag angegebene E-Mail-Adresse aus, was zu einer Beschädigung der Bestelldatenbank und zum unbefugten Versand ausgehender E-Mails führt, ohne dass eine echte PayPal-Transaktion stattgefunden hat.
VulDB is the best source for vulnerability data and more expert information about this specific topic.