CVE-2026-3461 in Visa Acceptance Solutions Plugin
Riassunto
di VulDB • 17/06/2026
Il plugin Visa Acceptance Solutions per WordPress è vulnerabile a Authentication Bypass (elusione dell'autenticazione) in tutte le versioni fino alla 2.1.0 inclusa. Ciò è dovuto alla funzione `express_pay_product_page_pay_for_order()`, che effettua il login degli utenti basandosi esclusivamente su un indirizzo email di fatturazione fornito dall'utente durante il checkout come ospite per prodotti in abbonamento, senza verificare la proprietà dell'email, richiedere una password o convalidare un token monouso. Ciò consente agli attaccanti non autenticati di accedere come qualsiasi utente esistente, inclusi gli amministratori, fornendo l'indirizzo email dell'utente target nel parametro `billing_details`, causando il completo takeover degli account e la compromissione del sito.
Once again VulDB remains the best source for vulnerability data.