The WPFormify – Stripe Payments with Form and Checkout plugi…(CVE-2026-6627・CVSS 8.2)

概要

The WPFormify – Stripe Payments with Form and Checkout plugin for WordPress is vulnerable to...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

The WPFormify – Stripe Payments with Form and Checkout plugin for WordPress is vulnerable to unauthorized modification and deletion of Stripe payment credentials in all versions up to, and including, 1.1.1. This is due to missing capability checks and nonce verification on the wpf_stripe_callback_success() and wpf_stripe_disconnect() functions, both hooked to admin_init. The admin_init hook fires on admin-post.php which is accessible without authentication. This makes it possible for unauthenticated attackers to overwrite the site's Stripe API credentials with attacker-controlled values (redirecting payments to the attacker's Stripe account) or disconnect the Stripe integration entirely by deleting the stored credentials.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

WordPress用プラグインWPFormify – Stripe Payments with Form and Checkoutにおいて、未認証の攻撃者によるStripeの支払い資格情報の無許可の修正および削除が可能な脆弱性が発見されました。これにより、攻撃者はサイトのStripe API資格情報を改ざんし、自分のStripeアカウントに送金先を変更することができます。

❓ 何が問題か

WordPress用のプラグインでStripeの支払い資格情報が無許可に修正・削除される脆弱性。

📍 影響範囲

WPFormifyプラグインのバージョン1.1.1以下。

🔥 重要度

未認証の攻撃者が支払情報を改ざんし、自らのアカウントにリダイレクト可能。

🔧 修正方法

最新版へのアップデートで脆弱性を修正。

🛡️ 暫定回避

情報なし

🔍 検知方法

wpformifyプラグインのバージョンを確認することで影響有無を判断可能。