„`html
Zusammenfassung
Die SicherheitslĂĽcke CVE-2026-16734 betrifft das WordPress-Plugin „Stripe Payment Forms by WP Full Pay“ in Versionen vor 8.5.2. Die Schwachstelle ermöglicht es unauthentifizierten Besuchern, die Zahlungsbetrag von Stripe Payment Intents zu manipulieren. Dies geschieht durch zwei ungeschĂĽtzte AJAX-Aktionen, die keine Verifizierung des Zahlungsurhebers durchfĂĽhren.
Betroffene Systeme
Das WordPress-Plugin „Stripe Payment Forms by WP Full Pay“ in den Versionen vor 8.5.2 ist vulnerable. Betroffen sind alle WordPress-Installationen, die dieses Plugin mit Zahlungsformularen auf öffentlich zugänglichen Seiten nutzen. Der Schweregrad wird mit „High“ und einem CVSS-Score von 7.5 bewertet.
Technische Details
Die Schwachstelle liegt in der fehlenden Authentifizierungsprüfung bei zwei AJAX-Aktionen: der Pricing-Recalculation-Action und der Payment-Intent-Update-Action. Während Version 8.5.0 eine Ownership-Prüfung für einen Payment-Intent-Handler implementierte, wurden diese beiden kritischen Funktionen übersehen. Ein Angreifer kann durch die in jedem öffentlichen Formular eingebettete Nonce eine beliebig modifizierte Zahlungsbetrag-Anfrage absenden. Das Plugin aktualisiert diese manipulierten Daten anschließend serverseitig über die Stripe-API mit dem Store-API-Schlüssel des Merchants.
Empfohlene Massnahmen
Es wird dringend empfohlen, das Plugin umgehend auf Version 8.5.2 oder höher zu aktualisieren. Bis zur Verfügbarkeit eines Patches sollten Administratoren erwägen, das Plugin vorübergehend zu deaktivieren oder den Zugriff auf Zahlungsformulare einzuschränken. Eine Überprüfung der Stripe-Transaktionslogs auf verdächtige oder manipulierte Zahlungsbeträge ist erforderlich.
Bewertung
Mit einem CVSS-Score von 7.5 stellt diese Schwachstelle ein erhebliches Sicherheitsrisiko dar. Die einfache Ausnutzbarkeit durch fehlende Authentifizierung kombiniert mit direkten finanziellen Auswirkungen macht ein sofortiges Update zwingend erforderlich. Die Tatsache, dass kein offizieller Patch verfügbar ist, erhöht die Dringlichkeit von Mitigation-Massnahmen.
„`