CVE-2026-93511: обход проверки подписи PayPal-вебхуков в Premium Packages
ЗАГОЛОВОК
CVE-2026-93511: обход проверки подписи PayPal-вебхуков в Premium Packages
===PREVIEW===
В WordPress-плагине Premium Packages до версии 7.2.1 обнаружена уязвимость, позволяющая неаутентифицированному злоумышленнику подделывать уведомления P
Подробности
Уязвимость затрагивает WordPress-плагин Premium Packages версий ниже 7.2.1. Согласно описанию CVE, плагин не выполняет проверку подписи вебхуков PayPal перед обработкой уведомлений о платежах и подписках. Это означает, что любой неаутентифицированный атакующий может отправить на сайт поддельный вебхук, имитирующий сообщение от PayPal. Поскольку проверка подписи отсутствует, плагин принимает такие запросы как легитимные. В результате злоумышленник способен сформировать поддельное подтверждение оплаты заказа или событие об отмене подписки. Ключевое условие для успешной атаки — знание идентификатора транзакции (transaction id) целевого заказа. Такой идентификатор может быть получен различными путями, например при утечке данных или в результате наблюдения за активностью пользователя. Уязвимость не требует аутентификации, что существенно расширяет круг потенциальных атакующих. Тип уязвимости — обход проверки подписи (signature verification bypass) при обработке вебхуков. Значение CVSS в предоставленной записи CVE не указано. Официальный статус записи — «Unknown» для затронутого продукта, то есть на момент публикации точные данные о vendor/продукте в записи не детализированы.Что делать
Основная и наиболее надёжная рекомендация — обновить плагин Premium Packages до версии 7.2.1 или более поздней. В этой версии, согласно заголовку CVE, проблема устранена. Если обновление невозможно в короткие сроки, следует рассмотреть временные меры: - ограничить доступ к эндпоинтам, принимающим вебхуки PayPal, на уровне веб-сервера или WAF, разрешив запросы только с IP-адресов PayPal; - включить дополнительную валидацию входящих уведомлений на стороне инфраструктуры, если это поддерживается конфигурацией; - провести аудит журналов платежей и событий подписок на предмет подозрительных подтверждений или отмен, особенно по заказам, чьи transaction id могли быть скомпрометированы. Также рекомендуется регулярно проверять официальные источники и страницу плагина на наличие обновлений безопасности, поскольку информация о затронутых версиях и продукте может уточняться. Итог: CVE-2026-93511 — серьёзная уязвимость в Premium Packages, связанная с отсутствием проверки подписи PayPal-вебхуков. Она позволяет неаутентифицированному злоумышленнику подделывать платежные и подписочные события. Единственное надёжное решение — обновление до версии 7.2.1 или выше; до его установки целесообразно применять компенсирующие меры на уровне инфраструктуры и внимательно следить за активностью, связанной с платежами.Источник: CVE Project (cvelistV5)