CVE-2025-3889 in Simple Shopping Cart Plugin
要約
〜によって VulDB • 2026年05月26日
WordPressのSimple Shopping Cartプラグインは、5.1.3以前の全バージョンにおいて、ユーザーが制御可能なキーに対する検証処理が欠落しているため、'process_payment_data'経由でInsecure Direct Object Reference (IDOR) の脆弱性に起因する不正なオブジェクト参照のリスクがあります。これにより、認証されていない攻撃者は製品の数量を負の数値に変更することが可能となり、その結果、注文合計金額から製品の費用が差し引かれることになります。この攻撃は、PayPalやStripeが負の数量に対する決済処理を行わないため、Manual Checkout（手動チェックアウト）モードでのみ有効です。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.