CVE-2026-6627

Nome do Software Vulnerável e Versões Afetadas WPFormify – Stripe Payments with Form and Checkout versões anteriores a 1.1.2

Descrição Atacantes não autenticados podem modificar ou excluir credenciais de pagamento do Stripe. Isso ocorre porque as funções wpf stripe callback success() e wpf stripe disconnect(), que estão vinculadas ao admin init no endpoint admin-post.php, carecem de verificações de capacidade e verificação de nonce. Um nonce é um token único usado para evitar ataques de repetição, garantindo que uma solicitação seja intencional e autêntica. Essa falha permite que um invasor sobrescreva as credenciais da API do Stripe para redirecionar pagamentos para sua própria conta ou desconecte completamente a integração do Stripe.

Recomendações Atualize o WPFormify – Stripe Payments with Form and Checkout para a versão 1.1.2 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint admin-post.php ou desative as funções wpf stripe callback success() e wpf stripe disconnect() até que a atualização seja aplicada.