Beobachtetes Signal · 18. Juni 2026 · Security Vulnerability Disclosure · Quelle: DEV Community · Relevanz: 3/5 · Sentiment: Negativ
CVE-2026-9189: PayPal-Zahlungsumgehung in WordPress-Plugin entdeckt
Ein Sicherheitsbericht beschreibt die Schwachstelle CVE-2026-9189 im Contact Form 7 PayPal and Stripe Add-on (bis Version 2.4.9). Obwohl das Plugin PayPal IPN-Nachrichten korrekt authentifizierte (cmd=_notify-validate → VERIFIED), unterließ es die Validierung geschäftsrelevanter Daten wie Betrag, Währung und Empfänger. Stattdessen vertraute das System einem vom Angreifer manipulierbaren Rechnungsfeld. Dies ermöglicht es Akteuren, eine geringe Zahlung mit einer teuren, ausstehenden Bestellung zu verknüpfen, wodurch das Plugin diese fälschlicherweise als bezahlt markiert. Die Schwachstelle ist mit einem CVSS-Score von 5.3 eingestuft und fällt unter CWE-345. Der Entdecker Muni Nitish Kumar Yaddala empfiehlt dringend ein Update auf Versionen über 2.4.9 oder die vorübergehende Deaktivierung des PayPal-Pfads.
Diese mittelschwere Schwachstelle in einem weit verbreiteten WordPress-Zahlungs-Add-on verdeutlicht einen klassischen Webhook-Validierungsfehler, der direkt zu finanziellem Schaden führen kann und daher zwingend gepatcht werden muss.
Marktsignale zu PayPal in Echtzeit verfolgen
Polaris7 erfasst behördliche Registrierungen, Primärquellen, Führungswechsel und Deal-Aktivitäten rund um die Uhr. Erstellen Sie Ihren kostenlosen Explorer-Workspace, um automatisierte Executive Briefings zu erhalten.
Wichtigste Kernpunkte & Evidenz
- CVE-2026-9189 betrifft das Contact Form 7 PayPal and Stripe Add-on in Version 2.4.9 und älter.
- Das Plugin authentifizierte zwar PayPal IPN (cmd=_notify-validate → VERIFIED), validierte jedoch Betrag, Währung oder Empfänger vor Abschluss der Bestellung nicht.
- Angreifer können den Rechnungswert auf eine teure ausstehende Bestellung setzen, einen geringen Betrag zahlen und die Bestellung als bezahlt markieren lassen.
- Die Schwachstelle ist mit CVSS 5.3 bewertet und unter CWE-345 (unzureichende Verifizierung der Datenauthentizität) kategorisiert.
- Entdeckt von Muni Nitish Kumar Yaddala; Betreiber sollten sofort ein Update auf Versionen über 2.4.9 durchführen oder den PayPal-Pfad deaktivieren.
Verknüpfte Unternehmen
3 verknüpfte UnternehmenOntologie & Marktkonzepte
Verwandte Marktsignale & Trends
Aktuelle verifizierte Unternehmensentwicklungen und Deal-Aktivitäten in diesem Marktsegment.
Forminator Forms CVE-2026-15748: Unauthentifizierte RCE über Select-Felder
Eine kritische Sicherheitslücke (CVE-2026-15748) im WordPress-Plugin Forminator Forms in Versionen 1.56.1 und früher ermöglicht unauthentifizierten Angreifern das Einschleusen manipulierter Upload-Einstellungen über Select-Felder. Dies führt zu beliebigen Dateiuploads und potenzieller Remote Code Execution (RCE), sofern das Speicherverzeichnis die Ausführung von PHP-Skripten erlaubt. Wordfence deckte das Problem auf und schätzt die Zahl potenziell betroffener WordPress-Websites auf rund 600.000; ab Version 1.56.2 ist die Schwachstelle behoben. Die Ausnutzung setzt ein öffentliches Formular mit Datei- und Auswahlfeld voraus und umgeht gängige Dateiendungs-Blocklisten mittels spezieller Payload-Muster. Sicherheitsverantwortliche sollten das Plugin umgehend aktualisieren, die Skriptausführung in Upload-Verzeichnissen deaktivieren und gezielt nach verdächtigen POST-Paylodas sowie neu erstellten PHP-Dateien in Upload-Ordnern suchen.
Schwachstellen in der Business Logic ermöglichen Umgehung von Zahlungen
Ein technischer Beitrag beleuchtet Schwachstellen in der Business Logic, die entstehen, wenn Anwendungen auf die Reihenfolge von Arbeitsabläufen vertrauen, anstatt den Status serverseitig zu validieren. Angreifer können Anfragen in mehrstufigen Prozessen wie Kontoupgrades, Checkouts oder Freigabeketten überspringen, wiederholen oder neu anordnen, um unbeabsichtigte Ergebnisse wie Zahlungsumgehungen oder Privilegien-Eskalationen zu erzielen. Der Artikel demonstriert einen dreistufigen Upgrade-Ablauf, bei dem ein Bestätigungsendpunkt eine Pro-Mitgliedschaft gewährt, ohne eine abgeschlossene Transaktion zu prüfen. Ein Angreifer kann diesen Endpunkt direkt aufrufen, um Zugriff zu erhalten. Als Abhilfemaßnahme wird die serverseitige Verifizierung getätigter Transaktionen, die Rückgabe eines HTTP-403-Status bei Fehlen sowie die Verwendung von Prepared Statements genannt. Da automatisierte Scanner diese Logikfehler häufig übersehen, werden manuelle Workflow-Tests und eine strenge Statusvalidierung bei jedem kritischen Schritt empfohlen.
PayPal beendet IPN: Webhooks-Migration birgt Risiko stiller Zahlungsausfälle
PayPal stellt den Betrieb seines Legacy-Protokolls für Instant Payment Notification (IPN) und Website Payments Standard (WPS) ein: Die Generierung neuer IPN/WPS-Zugangsdaten wurde Ende 2025 deaktiviert, die offizielle Deprecations-Phase läuft seit Januar 2026, und der vollständige Support-Stopp (End-of-Life) ist für Januar 2027 angesetzt. Als Nachfolgetechnologie dienen REST Webhooks. Die Migration verändert jedoch Payload-Formate, Feldpfade, Status-Vokabularien und Verifikationsmethoden grundlegend. Dies führt zu kritischen Fehlerquellen, bei denen Endpunkte HTTP 200 zurückgeben, Zahlungen aber stillschweigend nicht erfasst oder verifiziert werden. Zu den Stolpersteinen zählen fehlende E-Mail-Adressen in Capture-Ressourcen, als Strings typisierte Betragsfelder, veränderte Status-Signale sowie die Umstellung auf RSA-SHA256-Signaturen. Entwickler und Commerce-Architekten müssen Parser, Statusprüfungen, Betragsverarbeitung, Identitätsabrufe, Signaturprüfungen und Idempotenz-Schlüssel umgehend anpassen, um fehlerhafte oder verlorene Transaktionen während der Migration im Jahr 2026 zu verhindern.
Marktsignale & Strategische Shifts in Echtzeit verfolgen
Erstellen Sie benutzerdefinierte Watchlists, um automatisierte, evidenzbasierte Executive Briefings zu erhalten, sobald wesentliche Signale oder Marktverschiebungen auftreten.