CVE-2026-113468 Control de acceso roto en la extensión "TYPO3 Shop by coding.ms" (shop)

Qué es CVE-2026-113468

El endpoint de notificación de pagos de PayPal acepta datos entrantes sin verificar que provengan del proveedor de pagos. Cualquier visitante del sitio puede sobrescribir con contenido arbitrario la notificación de pago almacenada de un pedido que aún espera pago. Esto requiere una página que contenga el plugin de pedidos de la tienda. Los pedidos ya pagados no se ven afectados.

Productos y versiones afectadas

• TYPO3 Extension "TYPO3 Shop by coding.ms"

  • desde 6.0.0 hasta antes de 6.3.0
  • desde 5.0.0 hasta antes de 5.21.1
  • hasta antes de 4.9.4

Qué hacer

1. Verificá si usás Extension "TYPO3 Shop by coding.ms" y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• yuwkaaa/CVE-2026-113468 ↗forgeable PayPal payment callback in TYPO3 EXT:shopPUBLICADO 20 OCT · 22:51

Calculadora CVSS

CVSS 4.0 · 6.9 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Baja

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

The payment notification endpoint for PayPal accepts incoming data without verifying that it comes from the payment provider. Any site visitor can overwrite the stored payment notification of an order that is still awaiting payment with arbitrary content. This requires a page that contains the shop's order plugin. Orders that are already paid are not affected.

Referencias

• typo3.org/security/advisory/typo3-ext-sa-2026-036VENDOR-ADVISORY

Historial de la alerta

1. 20 OCT · 22:51EXPLOIT PÚBLICO Se publicó el repositorio yuwkaaa/CVE-2026-113468.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.