セキュリティ研究者がWPForms PayPal Commerce webhookにおける認証の不備を発見し、偽装されたイベントによって一致する支払いレコードの状態を変更することが可能になりました。この脆弱性は、ハンドラがPayPalが送信者であることを確認する前に、サポートされているイベントを処理できたために発生しました。研究者は、影響を受けるフローが手順を順不同で実行し、送信者を認証する前にイベントを処理して支払い状態を変更したことを発見しました。この問題はWPFormsバージョン1.10.0.5で修正され、CVE-2026-4986として追跡されています。研究者は、自身がこの脆弱性を報告した11人目であることを知り驚き、少なくとも11人の研究者が独立してこの問題を検出していたことを示唆しています。研究者のレポートは、脆弱なコードパス、ローカルでの再現、パッチ、および重複レポートの重要性について説明しています。研究者は自身のテストを自身のローカル環境に限定しており、独立して問題を再発見し報告したため、発見のオリジナルのクレジットを主張していません。研究者はAIツールを使用して最終記事の編集と整理を支援し、記事はオンラインで公開されています。この発見は、ベンダーが複数のレポートを受信した場合に脆弱性をどのように扱うべきか、また重複レポートがベンダーの対応の緊急性に影響を与えるべきかという疑問を提起します。研究者の経験は、徹底的なセキュリティテストの重要性と、脆弱性の独立した検証の価値を浮き彫りにしています。