CVE-2025-3889 in Simple Shopping Cart Plugin
Riassunto
di VulDB • 14/06/2026
Il plugin WordPress Simple Shopping Cart per WordPress è vulnerabile a Insecure Direct Object Reference in tutte le versioni fino alla 5.1.3 (inclusa) tramite 'process_payment_data' a causa della mancanza di validazione su una chiave controllata dall'utente. Ciò consente agli attaccanti non autenticati di modificare la quantità di un prodotto impostandola come numero negativo, sottraendo così il costo del prodotto dal totale dell'ordine. L'attacco ha successo solo in modalità Manual Checkout (Pagamento manuale), poiché PayPal e Stripe non elaborano pagamenti per quantità negative.
If you want to get best quality of vulnerability data, you may have to visit VulDB.