CVE-2026-92400: обход оплаты в Payment Gateway for PayPal on WooCommerce до версии 9.2.1
Исследователи безопасности сообщили об уязвимости в популярном плагине для WordPress, который используется интернет-магазинами на WooCommerce для приёма платежей через PayPal. Проблема связана с недостаточной проверкой уведомлений об оплате и позволяет обойти процедуру подтверждения платежа.
Подробности
Уязвимость затрагивает плагин Payment Gateway for PayPal on WooCommerce в версиях до 9.2.1. Согласно описанию CVE, плагин не проверяет, что входящее уведомление о платеже (IPN) было подтверждено в той платёжной среде, которая настроена в самом магазине, а также что средства поступили на собственный мерчант-аккаунт магазина, прежде чем пометить заказ как выполненный.
В результате неаутентифицированный пользователь может отметить собственный заказ как оплаченный, предъявив подлинную транзакцию из платёжной песочницы (sandbox), которую он контролирует. Иными словами, злоумышленник пользуется путаницей между тестовой и боевой средой PayPal: плагин принимает подтверждение из sandbox за реальную оплату.
Уязвимости присвоена базовая оценка CVSS 5.3 (MEDIUM). Класс проблемы — обход процедуры оплаты (payment bypass) через путаницу с платёжной средой sandbox IPN. Эксплуатация не требует аутентификации, однако для успешной атаки злоумышленнику необходимо иметь возможность создать заказ в магазине и располагать транзакцией в собственной песочнице PayPal.
Что делать
Основная рекомендация — как можно скорее обновить плагин Payment Gateway for PayPal on WooCommerce до версии 9.2.1 или выше, где устранена описанная проблема. Перед обновлением стоит сделать резервную копию сайта и базы данных.
Если немедленное обновление невозможно, владельцам магазинов стоит рассмотреть временные меры:
- проверить, что в настройках плагина используется исключительно боевая среда PayPal, а sandbox-режим отключён;
- усилить контроль за статусами заказов: вручную сверять завершённые заказы с фактическими поступлениями средств в панели PayPal;
- ограничить или временно приостановить приём платежей через этот плагин до установки исправления;
- включить уведомления и журналирование операций, чтобы оперативно выявлять подозрительные пометки заказов как оплаченных.
Также рекомендуется провести аудит уже оформленных заказов на предмет тех, что были помечены как оплаченные без реального поступления средств.
Уязвимость CVE-2026-92400 демонстрирует классическую проблему недостаточной проверки платёжных уведомлений: плагин доверяет входящему IPN, не убедившись, что он относится к нужной среде и нужному мерчант-аккаунту. Для интернет-магазинов это прямой риск финансовых потерь — заказ уходит без оплаты. Единственная надёжная мера — обновление до версии 9.2.1 и выше, а до его установки — усиленный ручной контроль платежей.
Источник: CVE Project (cvelistV5)