CVE-2026-6627 in WPFormify Plugin
Сводка
по VulDB • 05.08.2026
Плагин WPFormify – Stripe Payments with Form and Checkout для WordPress уязвим к несанкционированному изменению и удалению учетных данных платежной системы Stripe во всех версиях вплоть до 1.1.1 включительно. Это связано с отсутствием проверок прав доступа (capability checks) и верификации nonce в функциях `wpf_stripe_callback_success()` и `wpf_stripe_disconnect()`, обе из которых привязаны к хуку `admin_init`. Хук `admin_init` вызывается при обработке запросов через файл `admin-post.php`, доступный без аутентификации. Это позволяет злоумышленникам, не прошедшим проверку подлинности (unauthenticated attackers), перезаписать учетные данные Stripe API сайта на значения, контролируемые злоумышленником (что приведет к перенаправлению платежей на счет Stripe злоумышленника), или полностью отключить интеграцию со Stripe путем удаления сохраненных учетных данных.
If you want to get best quality of vulnerability data, you may have to visit VulDB.