CVE-2025-11271 in Easy Digital Downloads Plugin
摘要
由 VulDB • 2026-05-31
WordPress 的 Easy Digital Downloads 插件在所有 3.5.2 及以下版本中存在订单操纵漏洞，原因是订单验证被绕过。当 POST 请求体中包含 verification_override=1 时，验证会被无条件跳过。由于该值由攻击者提供，未认证的攻击者可以提交伪造的 IPN（即时付款通知），使其被视为已验证，即使在生产环境中且其他验证已启用的情况下也是如此。需要有效的 PayPal 交易 ID，这将订单操纵限制为攻击者自己下的订单。这反过来要求攻击者拥有一个客户账户。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.