CVE-2026-88814 Condición de carrera en YITH WooCommerce Gift Cards permite gastar más que el saldo de la tarjeta
El plugin YITH WooCommerce Gift Cards para WordPress antes de 4.38.1 no bloquea ni actualiza de forma atómica el saldo de una tarjeta de regalo al canjearla en el checkout, lo que permite a quien posee un código gastar más que su valor financiado enviando múltiples checkouts simultáneos con el mismo código. Se corrige en la versión 4.38.1.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,1 % · percentil 2
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
YITH WooCommerce Gift Cards
hasta antes de 4.38.1
Qué hacer
- Verificá si usás YITH WooCommerce Gift Cards y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 3.7 BAJA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The YITH WooCommerce Gift Cards WordPress plugin before 4.38.1 does not lock or atomically update a gift card's balance when it is redeemed at checkout, allowing an attacker who holds a gift card code to spend more than its funded value by submitting multiple checkouts for the same code at the same time.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.