Qué es y cómo funciona
El plugin WooCommerce PayPal Pro Payment Gateway contiene una vulnerabilidad de omisión de pago que no requiere autenticación. Un atacante remoto puede explotar el manejador AJAX pp_capture_order, que solo está protegido por un nonce público de checkout y no valida correctamente el estado de la captura de PayPal. Al proporcionar un _paypal_order_id válido, se puede activar la función payment_complete() sin verificar el estado de la captura ni el monto, haciendo que la tienda cumpla pedidos que nunca fueron pagados.
Productos y versiones afectadas
La vulnerabilidad afecta a todas las versiones del plugin WooCommerce PayPal Pro Payment Gateway anteriores a la 4.1.1.
Impacto real
Esta falla permite a atacantes causar pérdidas financieras directas al comerciante, ya que la tienda puede enviar bienes o servicios sin haber recibido el pago correspondiente. La vulnerabilidad está clasificada como CWE-345: Insufficient Verification of Data Authenticity.
Explotación y probabilidad
Este CVE-2026-127204 fue publicado críticamente en las últimas 24 horas en el catálogo NVD y tiene una puntuación CVSS de 7.5 (Alta). Según datos de Shodan, actualmente hay 0 hosts indexados con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos expuestos directamente en internet, aunque la severidad teórica es alta.
Qué hacer
Los usuarios del plugin deben actualizar inmediatamente a la versión 4.1.1 o superior para mitigar la vulnerabilidad.
| CVE | CVE-2026-127204 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.5 / 10 |
| CWE | CWE-345 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).