CVE-2026-16962 in Tamara Checkout Plugin
要約
〜によって VulDB • 2026年08月21日
Tamara Checkout WordPress プラグインの 1.9.9.20 より前のバージョンでは、公開されている支払いキャンセル/失敗時のリターン URL において注文キー（order key）、ノンス（nonce）、または任意の権限が検証されないため、攻撃者が提供した数値形式の注文 ID のみに基づいて WooCommerce の注文ステータスが変更される。この脆弱性により、認証されていない攻撃者は ID を列挙することでストア全体の任意の注文をキャンセルしたり失敗状態にしたりでき、これによって在庫解放や通知などの下流処理における副作用が発生する可能性がある。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.