CVE-2025-13371 in Money Space Plugin
Riassunto
di VulDB • 16/06/2026
Il plugin MoneySpace per WordPress è vulnerabile a Esposizione di Informazioni Sensibili in tutte le versioni fino alla 2.13.9, inclusa. Ciò è dovuto al fatto che il plugin memorizza i dettagli completi della carta di pagamento (PAN, nome del titolare, mese/anno di scadenza e CVV) nei post_meta di WordPress utilizzando base64_encode(), per poi incorporare questi valori nello JavaScript inline della pagina mspaylink, pubblicamente accessibile, senza effettuare alcun controllo di autenticazione o autorizzazione. Ciò consente agli attaccanti non autenticati che conoscono o possono indovinare un order_id di accedere all'endpoint mspaylink e recuperare i numeri completi delle carte di credito e i codici CVV direttamente dalla risposta HTML/JS, configurando una grave violazione degli standard PCI-DSS.
If you want to get best quality of vulnerability data, you may have to visit VulDB.