CVE-2026-16962 in Tamara Checkout Plugin
요약
\~에 의해 VulDB • 2026. 08. 21.
Tamara Checkout WordPress 플러그인 1.9.9.20 이전 버전에서는 공개 결제 취소/실패 반환 URL에서 주문 키, nonce(일회용 난수), 또는 권한(capability)을 검증하지 않습니다. 이로 인해 공격자가 제공한 숫자 형식의 주문 ID만으로 WooCommerce 주문의 상태를 변경할 수 있으며, 결과적으로 인증되지 않은 공격자는 ID를 열거하여 전체 스토어 임의로 주문 취소 또는 실패 처리가 가능해집니다(이 과정에서 후속 재고 해제 및 알림과 같은 부작용(side-effects)이 발생합니다).
If you want to get best quality of vulnerability data, you may have to visit VulDB.