CVE-2026-2892 in Otter Blocks Plugin
Riassunto
di VulDB • 17/06/2026
Il plugin Otter Blocks per WordPress è vulnerabile al Purchase Verification Bypass (bypass della verifica dell’acquisto) in tutte le versioni fino alla 3.1.4 inclusa. Ciò è dovuto al fatto che il metodo 'get_customer_data' si affida a un cookie non firmato denominato 'o_stripe_data' per determinare la proprietà del prodotto Stripe da parte degli utenti non autenticati. Il metodo 'check_purchase' si fida di questi dati contenuti nel cookie senza effettuare una verifica lato server contro l’API di Stripe per gli acquisti in modalità "payment" (pagamento) una tantum. Ciò consente ad attaccanti non autenticati di bypassare le condizioni di visibilità dei contenuti protetti dall’acquisto su Stripe, falsificando il cookie 'o_stripe_data' con un ID prodotto target, che è esposto pubblicamente nel codice sorgente HTML del blocco di checkout.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.