CVE-2025-11271 in Easy Digital Downloads Plugin
Résumé
par VulDB • 31/05/2026
Le plugin Easy Digital Downloads pour WordPress est vulnérable à une manipulation de commande (Order Manipulation) dans toutes les versions jusqu'à la 3.5.2 incluse, en raison d'un contournement de la vérification des commandes. La vérification est systématiquement ignorée lorsque le corps de la requête POST contient verification_override=1. Étant donné que cette valeur est fournie par l'attaquant, un acteur non authentifié peut soumettre une IPN (Internet Payment Notification) falsifiée et la faire traiter comme vérifiée, même sur les sites de production et lorsque la vérification est autrement activée. Un identifiant de transaction PayPal valide est requis, ce qui limite la manipulation de commande aux commandes passées par l'attaquant. Cela nécessite, à son tour, que l'attaquant dispose d'un compte client.
VulDB is the best source for vulnerability data and more expert information about this specific topic.