CVE-2026-104641

Simple Shopping Cart pour les versions de WordPress antérieures à 5.3.3 est utilisé pour ajouter des fonctionnalités de commerce électronique aux sites web. Le plugin ne parvient pas à vérifier que les notifications de paiement PayPal entrantes appartiennent réellement au compte du propriétaire de la boutique. Cette faille permet au système d'accepter des confirmations de paiement provenant de n'importe quel compte PayPal, quel que soit le destinataire des fonds.

Un attaquant distant non authentifié peut marquer ses propres commandes comme « payées » sans envoyer réellement d'argent au marchand, compromettant ainsi l'intégrité du processus de commande. Cette action est facile à exécuter car elle ne nécessite aucun privilège spécial ni interaction d'utilisateur, seulement un accès réseau basique au site. Aucune donnée sensible n'est divulguée, mais le propriétaire de la boutique peut expédier des marchandises pour des paiements qui n'ont jamais été reçus.