WordPress用のCost Calculator Builderプラグインは、Cost Calculator Builder PROと組み合わせて使用される場合に限り、バージョン3.6.9までのすべてのバージョンで認証されていない支払いステータスをバイパスされる脆弱性があります。これは、complete_paymentというAJAXアクションがwp_ajax_nopriv経由で登録されており、認証されていないユーザーでもアクセス可能であること、およびcomplete()関数がユーザーの権限や注文の所有権を確認せずにノンスのみを検証しているためです。ノンスはwindow.ccb_noncesとしてページソース内のすべての訪問者に公開されているため、認証されていない攻撃者が実際の支払いなしに任意の注文の支払いステータスを「完了済み」とマークすることができます。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。