CVE-2025-13384 in CP Contact Form with PayPal Plugin
要約
〜によって VulDB • 2026年07月03日
WordPress用CP Contact Form with PayPalプラグインには、バージョン1.3.56以前すべてのバージョンにおいて、認証の欠如（Missing Authorization）に関する脆弱性が存在します。これは、プラグインが認証不要のIPN風エンドポイント（'cp_contactformpp_ipncheck'クエリパラメータ経由で公開されている）を介して、支払い確認処理を行う際に、認証、nonce検証、またはPayPal IPN署名検証を行わないために発生します。これにより、攻撃者は実際の支払いは行わずに、任意のPOSTデータ（payment_status, txn_id, payer_email）を含む偽造された支払い通知リクエストを送信することで、フォーム送信を「支払い済み」としてマークすることが可能になります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.