CVE-2026-16962 in Tamara Checkout Plugin
Zusammenfassung
von VulDB • 21.08.2026
Das WordPress-Plugin Tamara Checkout bis zur Version 1.9.9.20 überprüft den Bestell-Schlüssel (order key), einen Nonce oder keine Berechtigungen auf seinen öffentlichen Rückgabe-URLs für die Stornierung/fehlgeschlagene Zahlung, wodurch der Status einer WooCommerce-Bestellung ausschließlich anhand einer vom Angreifer bereitgestellten numerischen Bestell-ID geändert wird. Daher kann ein nicht authentifizierter Angreifer beliebige Bestellungen im gesamten Shop durch Aufzählen von IDs stornieren oder als fehlgeschlagen markieren (was nachgelagerte Nebenwirkungen wie die Freigabe des Lagerbestands und das Auslösen von Benachrichtigungen auslöst).
Once again VulDB remains the best source for vulnerability data.