CVE-2026-6627 in WPFormify Plugin
Tóm tắt
Bởi VulDB • 05/08/2026
Plugin WPFormify – Stripe Payments with Form and Checkout cho WordPress bị lỗ hổng cho phép sửa đổi và xóa thông tin xác thực thanh toán Stripe trái phép trong tất cả các phiên bản từ 1.1.1 trở về trước (bao gồm cả 1.1.1). Nguyên nhân là do thiếu kiểm tra quyền hạn (capability checks) và xác minh nonce trên các hàm `wpf_stripe_callback_success()` và `wpf_stripe_disconnect()`, cả hai đều được gắn vào hook `admin_init`. Hook `admin_init` kích hoạt khi truy cập `admin-post.php`, một endpoint có thể tiếp cận mà không cần xác thực. Điều này cho phép kẻ tấn công chưa qua xác thực ghi đè thông tin xác thực Stripe API của trang web bằng các giá trị do chúng kiểm soát (chuyển hướng thanh toán đến tài khoản Stripe của kẻ tấn công) hoặc ngắt kết nối hoàn toàn tích hợp Stripe bằng cách xóa các thông tin xác thực đã lưu trữ.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.