Easy Digital Downloads, jusqu’à la version 3.7.2 incluse, peut faire confiance à l’adresse courriel d’un paiement PayPal invité pour associer une commande à un compte existant, puis ouvrir une session pour ce compte. Un attaquant peut ainsi prendre le contrôle d’un compte administrateur si les conditions décrites pour le parcours de paiement sont réunies.
Source : NVD — CVE-2026-120538
Analyse technique
Lors d’un paiement invité, la commande peut être liée à un utilisateur existant sur la seule correspondance de courriel; après capture du paiement, le plugin peut ouvrir une session pour cet utilisateur. La description mentionne notamment les parcours PayPal standard, UnbrandedCard et Fastlane, ainsi que la condition qu’aucun enregistrement client EDD préexistant ne lie déjà l’administrateur.
Impact, versions et correctif
Action recommandée
Mettre à jour le plugin dès qu’un correctif est disponible; en attendant, désactiver les parcours de paiement concernés si cela est possible.
Sources
Priorisation DFS : P3 · 1 source(s).