CVE-2026-86791— iPOSpays WooCommerce 插件<1.4.7 未认证支付确认伪造漏洞
一分钟漏洞结论
影响对象
Unknown iPOSpays Payment Gateway for WooCommerce
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
在 1.4.7 版本之前，WooCommerce 的 WordPress 插件"iPOSpays Payment Gateway"未验证支付是否实际完成，便直接将订单标记为“已支付”。这使得未授权用户能够将任意未支付订单标记为已支付，并篡改其订单总金额。
可能的 ATT&CK 技术 1 AI
T1190 · Exploit Public-Facing Application
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-86791 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
iPOSpays Payment Gateway for WooCommerce < 1.4.7 - Unauthenticated Payment Confirmation Forgery
来源: CVE Program / CVE List V5
Vulnerability Description
The iPOSpays Payment Gateway for WooCommerce WordPress plugin before 1.4.7 does not verify that a payment was actually completed before recording an order as paid, allowing unauthenticated users to mark any unpaid order as paid and to rewrite its total.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
N/A
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Unknown | iPOSpays Payment Gateway for WooCommerce | 0 ~ 1.4.7 | - |
|
二、漏洞 CVE-2026-86791 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-86791 的情报信息
请登录查看更多情报信息。
同批安全公告 · Unknown · 2026-10-19 · 共 20 条
| CVE-2026-74921 | 6.8 MEDIUM | Document Gallery 4.0-5.1.1 存储型 XSS 漏洞 |
| CVE-2026-94231 | 5.3 MEDIUM | TrueBooker 1.1.9-1.2.9 未授权服务类别修改漏洞 |
| CVE-2026-94272 | 5.3 MEDIUM | Snap Finance 1.0.8-3.11.0 未认证任意订单状态修改漏洞 |
| CVE-2026-94230 | 5.3 MEDIUM | TrueBooker 1.1.9-1.2.9 未授权任意价格预约漏洞 |
| CVE-2026-94229 | 5.3 MEDIUM | TrueBooker 1.1.9-1.2.9 IDOR 导致未认证客户隐私泄露 |
| CVE-2026-94228 | 5.3 MEDIUM | TrueBooker 1.1.9-1.2.9 未授权插件设置覆盖漏洞 |
| CVE-2026-74922 | 5.3 MEDIUM | Document Gallery 4.1-5.1.1 未认证缩略图替换漏洞 |
| CVE-2026-94294 | 5.3 MEDIUM | App Builder 3.8.4-5.7.0 未授权选项写入漏洞 |
| CVE-2026-103311 | 5.3 MEDIUM | WooCommerce Coinbase Commerce 1.4.1 远程代码执行漏洞 |
| CVE-2026-106010 | 5.3 MEDIUM | BDM 支付网关 1.2.7-1.3.12 支付确认伪造漏洞 |
| CVE-2026-91831 | 3.8 LOW | Subscribe to Comments 2.3-2.3.2 邮件头注入漏洞 |
| CVE-2026-110034 | 3.7 LOW | Salon Booking System 10.31.11 未认证折扣负值漏洞 |
| CVE-2026-94273 | Snap Finance 3.11.0 未认证支付确认伪造漏洞 | |
| CVE-2026-89286 | GoHighLevel FormFlow 1.0.0 未认证敏感数据泄露 | |
| CVE-2026-106014 | Vantiv WC <=1.0.1 未认证支付完成漏洞 | |
| CVE-2026-91047 | ElementsReady Addons 6.7.2 未授权下载绕过漏洞 | |
| CVE-2026-106933 | Blaze Demo Importer <1.0.17 存储型 XSS 漏洞 | |
| CVE-2026-91046 | ElementsReady Addons 6.7.2 越权修改订阅插件设置漏洞 | |
| CVE-2026-106028 | WooCommerce ActiveTrail 1.2.6 未授权任意优惠券创建漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-86791
暂无评论