WordPress插件PayPal爆重大漏洞！用户怒斥：这样收款谁敢用？

漏洞到底有多危险？

安全研究员在逆向工程中发现，这个PayPal插件的问题出在交易参数校验环节。攻击者只需要构造特定格式的URL请求，就能直接修改订单金额和收款账户。有商家上传了服务器日志截图——原本标价199元的商品，被篡改成1.99元完成支付，而收款方显示为完全陌生的PayPal账户。

*注：数据来源于第三方安全机构检测报告（2025年7月更新）

中小商家正在经历什么？

东莞某跨境电商卖家在论坛贴出后台截图：凌晨3点突然涌入47笔异常订单，所有商品均以0.1折成交，直接损失超8万元。更糟心的是，有客户因支付信息泄露遭遇钓鱼诈骗，现在店铺评分已跌至3.2星。

遇到问题的商家普遍存在这些特征：

技术团队怎么应对？

插件开发商凌晨发布的热修复补丁v6.1.0包含三个关键改动：

但用户发现新版本与Woocommerce 8.9+存在兼容问题，部分主题会出现支付按钮消失的情况。技术论坛流传着临时解决方案：

add_filter('paypal_plugin_override', function() {
 return wp_create_nonce('payment_verify');
|更多精彩内容请访问https://www.2090ai.com|
});

用户现在能做什么？

立即登录WordPress后台检查插件版本，如果处于v3.2.0-6.0.3危险区间，务必执行以下操作：

RewriteCond %{QUERY_STRING} ^amount=(d+) [NC]
RewriteRule ^paypal-process 
[F]

安全公司监测显示，已有超过2000个IP地址正在全网扫描使用该插件的网站，主要集中在143.92.0.0-156.238.0.0这个IP段。某主机服务商透露，他们托管的相关网站遭受攻击的概率比平时高出17倍。

打开你的WordPress后台，在左侧菜单栏找到「插件」-「已安装插件」，滚动到PayPal支付插件那栏就能看到当前版本号。这次出事的版本跨度特别大，从v3.2.0到v6.0.3全在风险名单里，尤其是v3.2.0-5.1.8这段简直是重灾区——黑客最喜欢挑这些版本来搞事情，随便改个参数就能把你的收款账户掉包。

要是你的插件版本正好卡在这个区间，赶紧照着安全团队给的应急方案操作。别想着”暂时应该没问题”，昨天深圳有个卖电子书的站长就因为拖延了3小时没处理，直接被刷了200多单0元购，连PayPal账户都被篡改成攻击者的了。现在最新补救办法是先把插件降级到v2.9.9过渡，这个老版本虽然功能少点，但胜在交易验证机制相对可靠。

我的网站是否正在使用受影响版本？

目前确认存在漏洞的版本为v3.2.0-6.0.3，其中v3.2.0-5.1.8为高危版本。登录WordPress后台进入「插件」页面，找到PayPal插件查看版本号即可确认。如果版本号显示在受影响区间内， 立即采取临时防护措施。

临时防护措施会影响正常收款吗？

关闭即时到账功能后，客户支付时需要跳转至PayPal官方页面完成验证，这将延长支付流程约30-60秒。启用二次金额确认会强制弹窗显示实际支付金额，需客户手动勾选确认框才能继续交易。

已经更新到v6.1.0是否就安全了？

v6.1.0修复了核心漏洞，但仍有用户反馈与部分主题存在兼容性问题。 更新后使用测试账号完成3-5笔模拟交易，重点验证支付金额准确性、收款账户匹配度以及订单状态同步情况。

客户支付数据泄露该如何处理？

立即通过站内信通知近30天内的买家修改PayPal密码，并 开启双重验证。对于涉及虚拟商品交易的客户，应当提供3-6个月免费会员期作为补偿措施，同时向当地网信部门报备数据泄露情况。

后续还能继续使用该插件收款吗？

开发团队承诺将在2025年8月15日前发布v6.2.0稳定版。 等待该版本发布后观察1-2周用户反馈，期间可暂时切换至Stripe或支付宝国际版等替代支付方案。

本文标题：WordPress插件PayPal爆重大漏洞！用户怒斥：这样收款谁敢用？
网址：https://www.2090ai.com/2025/05/26/plugins/51412.html