SQL-инъекция в Zen Cart PayPal IPN (paypaldp.php) — CVE-2026-108826
В популярной платформе для создания интернет-магазинов Zen Cart выявлена уязвимость, получившая идентификатор CVE-2026-108826. Проблема затрагивает механизм обработки уведомлений PayPal IPN и позволяет злоумышленнику удалённо выполнить SQL-инъекцию.
Подробности
Уязвимость присутствует в Zen Cart версий до 2.2.2 включительно. Она локализована в функции zen_db_perform, определённой в библиотеке includes/modules/payment/paypaldp.php, которая относится к компоненту PayPal IPN Handler. При манипуляции аргументом txn_id происходит внедрение SQL-кода, поскольку значение не обрабатывается должным образом перед использованием в запросе к базе данных.
Атака может быть инициирована удалённо — злоумышленнику не требуется локальный доступ к серверу. Эксплойт уже опубликован в открытых источниках, что повышает риск его практического использования. Уровень опасности по шкале CVSS составляет 6.9 (MEDIUM).
Уязвимость относится к классу CWE-89 (Improper Neutralization of Special Elements used in an SQL Command, «SQL-инъекция»). Успешная эксплуатация потенциально позволяет получить несанкционированный доступ к данным интернет-магазина, включая информацию о заказах и клиентах, а также нарушить целостность базы данных.
Что делать
Разработчики Zen Cart выпустили исправление с идентификатором коммита 557154f4fa025f51553094f47b06aa024220c48f. Рекомендуется как можно скорее установить соответствующий патч.
Основные меры защиты:
- Обновить Zen Cart до версии, содержащей исправление, либо вручную применить патч
557154f4fa025f51553094f47b06aa024220c48f. - Если обновление невозможно в ближайшее время, рассмотреть ограничение доступа к обработчику PayPal IPN на уровне веб-сервера или WAF.
- Провести проверку журналов на предмет подозрительных запросов к
paypaldp.phpи аномальных значений параметраtxn_id. - Убедиться в актуальности правил фильтрации SQL-инъекций на периметре.
Поскольку эксплойт уже доступен публично, откладывать установку патча не рекомендуется — окно между раскрытием и попытками эксплуатации может быть минимальным.
Уязвимость CVE-2026-108826 в Zen Cart представляет собой классическую SQL-инъекцию в обработчике PayPal IPN, эксплуатируемую удалённо. При средней оценке CVSS наличие публичного эксплойта существенно повышает практические риски для интернет-магазинов на уязвимых версиях. Единственная надёжная мера — оперативная установка официального патча.
Источник: CVE Project (cvelistV5)