CVE-2026-4986mediumCWE-862

CVE-2026-4986: fallo de gravedad media en WPForms

WPForms Lite < 1.10.0.5 – Unauthenticated PayPal Webhook Forgery

Publicada el

Seguir esta CVE+ Monitorear WPForms

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

33Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 5.3epss 0.2%
The WPForms WordPress plugin before 1.10.0.5 does not verify the authenticity of incoming PayPal webhook events before processing them, allowing unauthenticated attackers to forge webhook payloads and manipulate the payment state of arbitrary transactions.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Productos afectados
Unknown · WPForms
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — WPForms

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-11223MEDIUMWPForms < 1.9.2.3 - Admin+ Stored XSSEPSS 0.5%CVE-2024-7056LOWWPForms < 1.9.1.6 - Admin+ Stored XSSEPSS 0.4%CVE-2026-84744MEDIUMWPForms Lite 1.5.0.1 - 2.0.2 - Unauthenticated Arbitrary Shortcode Execution via Form Field RepopulationEPSS 0.2%CVE-2026-74991MEDIUMWPForms Lite 1.8.8.2 - 2.0.1.1 - Unauthenticated Stripe Refund and Subscription Cancellation via External PaymentIntentEPSS 0.2%