CVE-2026-94261
Beschrijving NL
De Sifalo Pay WordPress-plugin vóór versie 2.5.3 controleert niet of een betalingstransactie-ID daadwerkelijk bij de te bevestigen bestelling hoort, noch of de aanvrager de eigenaar van die bestelling is. Hierdoor kunnen niet-geauthenticeerde aanvallers met een geldige transactie-ID van een eigen betaling willekeurige openstaande bestellingen als betaald markeren.
Origineel (Engels) tonen
The Sifalo Pay WordPress plugin before 2.5.3 does not verify that a payment transaction identifier belongs to the order it is confirming, nor that the requester owns that order, allowing unauthenticated attackers holding one valid transaction identifier from a payment of their own to mark arbitrary pending orders as paid.