VULNERABILIDADDetectada 03 NOV · 03:03

CVE-2026-120538 Omisión de autenticación en Easy Digital Downloads

El plugin Easy Digital Downloads para WordPress es vulnerable a omisión de autenticación que lleva a la toma de control de cuentas de administrador en todas las versiones hasta la 3.7.2. Durante un pago como invitado con PayPal, el correo ingresado en el campo de invitado se toma como prueba de identidad: edd_get_purchase_form_user() vincula el nuevo pedido de invitado a un usuario de WordPress existente solo por coincidencia de correo, reescribiendo el user_id del pedido. Luego…

8.1ALTA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,4 % · percentil 37
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

smub Easy Digital Downloads – eCommerce Payments and Subscriptions made easy
hasta 3.7.2

Qué hacer

Verificá si usás Easy Digital Downloads – eCommerce Payments and Subscriptions made easy y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 8.1 ALTA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de ataqueRed
Complejidad del ataqueAlta
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadAlta
DisponibilidadAlta

Descripción original

The Easy Digital Downloads plugin for WordPress is vulnerable to authentication bypass leading to administrator account takeover in all versions up to, and including, 3.7.2. During a PayPal guest checkout, the email address entered in the guest-checkout field is trusted as proof of identity: edd_get_purchase_form_user() binds the new guest order to an existing WordPress user purely on an email-address match, rewriting the order's user_id to that user's ID. The PayPal capture sink PurchaseUser::maybe_log_in_after_capture() then looked the user up by the order email (get_user_by( 'email', $order->email )) and, when $order->user_id equalled that user's ID (which the email-binding step guarantees), issued an authenticated session with wp_set_auth_cookie(). An unauthenticated attacker who starts a guest checkout using an administrator's email address (where that administrator has no existing EDD customer record) and completes the PayPal purchase flow therefore receives an authenticated session as that administrator — a full account takeover. The same sink is reachable through the standard PayPal checkout and the REST UnbrandedCard and Fastlane flows.

Referencias (7)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.