CVE-2026-91020 WebToffee Gift Cards for WooCommerce 价格篡改漏洞
影响未认证攻击者可篡改礼品卡金额，低价或零成本获取商品
WebToffee Gift Cards for WooCommerce WordPress 插件在 1.3.1 之前的版本中，未在服务端校验用户提交的礼品卡金额，便将其直接用作购物车商品价格和商店积分优惠券金额。攻击者可提交任意或负数金额，绕过预设面额并操纵订单总额。
影响范围
WebToffee Gift Cards for WooCommerce WordPress 插件 1.3.1 之前的版本。具体受影响版本范围暂无更详细的公开信息。
漏洞详情
该漏洞属于服务端输入校验缺失导致的参数篡改问题。插件在处理礼品卡金额时仅依赖客户端提交的数值，未在服务端进行合法性校验，也未限制金额必须为预设面额或正数。未认证用户可构造任意或负数金额请求，使购物车价格与优惠券抵扣被恶意操纵，从而以极低价格或零成本完成下单。
利用条件与风险
利用无需认证，攻击者只需能够访问商店下单流程即可发起请求，实战中可造成直接的经济损失和商品被薅取。CVSS 评分为 5.3，属于中危。
修复建议
建议升级至 WebToffee Gift Cards for WooCommerce 1.3.1 或更高版本。临时缓解措施暂无公开信息，可考虑在服务端增加金额校验逻辑或限制相关接口访问。
The WebToffee Gift Cards for WooCommerce WordPress plugin before 1.3.1 does not validate a user-supplied gift card amount server-side before using it as the cart-item price and store-credit coupon value, allowing unauthenticated users to submit an arbitrary or negative amount, bypassing the configured denominations and manipulating the order total to obtain products without paying.