Easy Digital Downloads 高危漏洞 CVE-2026-120538：PayPal 訪客結帳或可導致管理員帳戶被接管

情報摘要

Easy Digital Downloads 3.7.2 及以前版本存在認證繞過漏洞。Wordfence 指在特定 PayPal 訪客結帳條件下，未登入攻擊者可能取得管理員登入狀態；目標管理員須沒有既有 EDD 客戶記錄，攻擊亦涉及完成 PayPal 購買流程。Wordfence 評為 CVSS 3.1 8.1 分，修補版本為 3.7.3。

問題源於訪客結帳的電郵地址與 WordPress 使用者帳戶之間的錯誤信任。外掛可能把使用者輸入的地址視為身分依據，並在 PayPal 訂單完成時建立不應授予的登入狀態。

Wordfence 描述的管理員接管情境，要求攻擊者知道目標管理員電郵地址、該管理員沒有既有 EDD 客戶記錄，而且完成 PayPal 購買流程。這些條件需要一併判斷，不能只從安裝了外掛推定網站已遭入侵。

通報列明同一問題可經標準 PayPal 結帳，以及相關 UnbrandedCard、Fastlane 流程觸及。Wordfence 列出的受影響上限是 3.7.2，已修補版本為 3.7.3。

Wordfence 通報首次公開於 2026 年 10 月 30 日，CVE Program 記錄於 11 月 3 日發布。本文沒有把 CVE 記錄發布日期當成漏洞發現日期或修補發布日期。

受影響產品

WordPress 外掛 Easy Digital Downloads（EDD），3.7.2 及以前版本

適用讀者

以 Easy Digital Downloads 及 PayPal 收款的香港網店、數碼產品商戶與網站維護團隊

建議行動

將 Easy Digital Downloads 更新至 3.7.3 或更新的已修補版本，並核對 PayPal 結帳流程能正常運作。若暫時無法更新，建議與網站維護團隊評估暫停受影響的訪客結帳入口；同時檢查管理員登入、權限及不明帳戶變更，發現異常時保留紀錄並跟進。

風險評級依據

Wordfence CNA 記錄列出 CVSS 3.1 8.1 分（High），向量為 CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H。評分包含高攻擊複雜度（AC:H）；成功利用可接管管理員帳戶，但須符合公告列明的結帳及帳戶條件。

解讀限制

受影響產品是 Easy Digital Downloads 外掛的相關結帳處理；所核對來源沒有把這項問題歸類為 PayPal 平台本身的漏洞。

所核對來源未確認實際利用或香港受害個案；暫停入口及檢查紀錄屬降低風險建議，不能取代外掛更新。

資料來源

• Wordfence：Easy Digital Downloads CVE-2026-120538 通報及修補版本 ↗來源刊登：2026-10-30
• CVE Program：CVE-2026-120538（Wordfence CNA 記錄） ↗來源刊登：2026-11-03