CVE-2026-15211

Nome do Software Vulnerável e Versões Afetadas Subscriptions for WooCommerce versões anteriores a 2.0.1

Description Existe um problema no fluxo de recebimento de pedidos do WooCommerce onde o plugin não valida o valor do pagamento nem vincula o token do pedido do PayPal ao pedido que está sendo concluído. O sistema captura um token fornecido pelo cliente e marca o pedido como pago sempre que o status de captura é COMPLETED, sem verificar se o valor capturado corresponde ao total do pedido. Isso permite que um invasor não autenticado, quando o checkout de convidado está habilitado, utilize um token de pedido do PayPal aprovado, mas não capturado, para marcar um pedido caro como pago sem pagar o preço real.

Recommendations Atualize o Subscriptions for WooCommerce para a versão 2.0.1 ou posterior.