Właściciele sklepów internetowych sprzedających produkty cyfrowe za pomocą WordPressa powinni pilnie sprawdzić wersję wtyczki Easy Digital Downloads. 30 października 2026 roku ujawniono poważną podatność bezpieczeństwa umożliwiającą obejście mechanizmu uwierzytelniania podczas realizacji płatności PayPal. W określonych warunkach osoba niezalogowana może doprowadzić do utworzenia sesji należącej do innego użytkownika WordPressa, a nawet przejąć konto administratora bez znajomości jego hasła. Problem dotyczy wszystkich wersji Easy Digital Downloads do 3.7.2 włącznie i otrzymał ocenę 8,1 punktu w skali CVSS, odpowiadającą wysokiemu poziomowi zagrożenia. Poprawkę udostępniono w wersji 3.7.3, dlatego sklepy korzystające ze starszych wydań powinny niezwłocznie przeprowadzić aktualizację.
Najbardziej niepokojące jest to, że wykorzystanie podatności nie wymaga wcześniejszego przejęcia konta klienta ani dostępu do panelu administracyjnego. W określonej konfiguracji wystarczy rozpoczęcie zakupu jako gość, podanie adresu e-mail istniejącego użytkownika WordPressa i pomyślne zakończenie transakcji przez obsługiwany mechanizm PayPal. Jeżeli spełnione są dodatkowe warunki związane z powiązaniem kont WordPressa i rekordów klientów Easy Digital Downloads, aplikacja może błędnie uznać kupującego za właściciela wskazanego adresu e-mail. W rezultacie powstaje ryzyko przejęcia sesji użytkownika posiadającego wysokie uprawnienia, bez konieczności przechodzenia przez standardowy formularz logowania.
Spis treści
- Czym jest Easy Digital Downloads i kto korzysta z tego systemu?
- Na czym polega nowa podatność uwierzytelniania?
- Jak zakup przez PayPal może doprowadzić do przejęcia konta?
- Jakie warunki muszą zostać spełnione?
- Które wersje Easy Digital Downloads są zagrożone?
- Co może zrobić napastnik po przejęciu administratora?
- Czy podatność oznacza problem z bezpieczeństwem PayPal?
- Czy podatność jest aktywnie wykorzystywana?
- Jak zabezpieczyć sklep Easy Digital Downloads?
- Jak sprawdzić, czy konto administratora zostało przejęte?
- Co zrobić po wykryciu nieautoryzowanego dostępu?
- Dlaczego tej podatności nie należy lekceważyć?
Czym jest Easy Digital Downloads i kto korzysta z tego systemu?
Easy Digital Downloads, znany również pod skrótem EDD, to system sprzedaży internetowej działający jako wtyczka WordPressa. W przeciwieństwie do WooCommerce, który obsługuje szeroką gamę produktów fizycznych i cyfrowych, Easy Digital Downloads koncentruje się przede wszystkim na sprzedaży treści elektronicznych, oprogramowania i produktów dostępnych do pobrania. Korzystają z niego między innymi sprzedawcy e-booków, kursów internetowych, fotografii, szablonów graficznych, wtyczek WordPressa oraz licencji na oprogramowanie. System umożliwia tworzenie katalogu produktów, przyjmowanie płatności, zarządzanie zamówieniami oraz automatyczne udostępnianie plików kupującym.
Jedną z istotnych funkcji Easy Digital Downloads jest integracja z operatorami płatności, w tym PayPal i Stripe. Sklep może umożliwiać klientom dokonywanie zakupów bez wcześniejszego zakładania konta, co upraszcza finalizację zamówienia i zmniejsza liczbę czynności wymaganych od kupującego. W takich przypadkach system nadal musi powiązać transakcję z odpowiednim rekordem klienta i zdecydować, czy dana osoba powinna zostać zalogowana do istniejącego konta WordPressa. Mechanizm ten wymaga szczególnej ostrożności, ponieważ adres e-mail wpisany podczas zakupu nie jest sam w sobie wiarygodnym potwierdzeniem tożsamości klienta. Właśnie w procesie powiązania zamówienia z istniejącym użytkownikiem wykryto poważny błąd bezpieczeństwa.
Na czym polega nowa podatność uwierzytelniania w Easy Digital Downloads?
Podatność ujawniona 30 października 2026 roku została sklasyfikowana jako Improper Authentication, czyli nieprawidłowa weryfikacja tożsamości użytkownika. Zgłoszenie przygotowane przez badacza Yuto Hyakumoto opisuje błąd występujący podczas finalizacji zamówienia PayPal przez niezalogowanego kupującego. W podatnych wersjach Easy Digital Downloads system może potraktować adres e-mail podany podczas zakupu jako wystarczającą podstawę do powiązania transakcji z istniejącym kontem WordPressa. Następnie mechanizm kończący obsługę płatności wykorzystuje to powiązanie do utworzenia uwierzytelnionej sesji użytkownika, mimo że faktyczna tożsamość osoby składającej zamówienie nie została prawidłowo potwierdzona.
Problem nie polega na złamaniu hasła administratora ani na wykorzystaniu podatności w standardowym formularzu logowania WordPressa. Zagrożenie wynika z nieprawidłowego połączenia funkcji odpowiedzialnych za obsługę zakupów gościnnych i automatyczne logowanie po zakończeniu transakcji. W efekcie użytkownik, który nie powinien otrzymać dostępu do istniejącego konta, może uzyskać sesję uwierzytelnioną jako jego właściciel. Jeżeli przejęte konto posiada rolę Administrator, skutki mogą obejmować uzyskanie bardzo szerokich uprawnień do zarządzania całą witryną.
Wordfence ocenił podatność na 8,1 punktu CVSS, wskazując na możliwość wykorzystania jej zdalnie, bez uwierzytelnienia i bez konieczności interakcji administratora. Jednocześnie wykorzystanie błędu wymaga spełnienia określonych warunków, dlatego nie można zakładać, że każda instalacja Easy Digital Downloads umożliwia przejęcie dowolnego konta.
Jak zakup przez PayPal może doprowadzić do przejęcia konta administratora?
Mechanizm podatności rozpoczyna się w momencie składania zamówienia przez klienta niezalogowanego do WordPressa. Easy Digital Downloads pobiera informacje przekazane w formularzu zakupowym, w tym adres e-mail, który następnie może wykorzystać do ustalenia, czy kupujący jest powiązany z istniejącym użytkownikiem. W podatnej implementacji funkcja edd_get_purchase_form_user() może przypisać zamówienie do istniejącego konta WordPressa wyłącznie na podstawie zgodności adresu e-mail. Powiązanie to prowadzi do zapisania identyfikatora użytkownika w zamówieniu, mimo że osoba wprowadzająca adres nie musiała udowodnić, iż rzeczywiście jest właścicielem wskazanego konta.
Drugi etap występuje po zakończeniu płatności PayPal. Mechanizm PurchaseUser::maybe_log_in_after_capture() odpowiada za obsługę logowania kupującego po pomyślnym przechwyceniu płatności. W podatnych wersjach funkcja wyszukiwała użytkownika WordPressa na podstawie adresu e-mail przypisanego do zamówienia, a następnie porównywała jego identyfikator z identyfikatorem zapisanym wcześniej w transakcji. Ponieważ wcześniejsza operacja mogła już powiązać zamówienie z kontem na podstawie tego samego adresu, oba identyfikatory były zgodne, mimo braku wiarygodnego potwierdzenia tożsamości kupującego.
W rezultacie aplikacja mogła wywołać funkcję WordPressa wp_set_auth_cookie(), odpowiedzialną za utworzenie uwierzytelnionej sesji użytkownika. Oznacza to, że osoba realizująca zakup mogła otrzymać sesję należącą do konta, którego adres e-mail wskazała w formularzu. Jeżeli był to adres administratora, a pozostałe warunki podatności zostały spełnione, skutkiem mogło być przejęcie konta z uprawnieniami administracyjnymi.
Istotne jest to, że do utworzenia sesji dochodziło poza standardową ścieżką logowania WordPressa. Z tego powodu nie można zakładać, że samo stosowanie silnego hasła lub tradycyjnego zabezpieczenia formularza logowania skutecznie eliminuje zagrożenie. Niektóre rozwiązania uwierzytelniania wieloskładnikowego mogą dodatkowo weryfikować sesje, ale ich obecność nie zastępuje aktualizacji podatnego systemu sprzedaży.
Jakie warunki muszą zostać spełnione, aby atak był możliwy?
Nie każda instalacja Easy Digital Downloads jest podatna na praktyczne wykorzystanie opisanego błędu w taki sam sposób. Przede wszystkim sklep musi korzystać z wersji 3.7.2 lub starszej oraz posiadać aktywną integrację płatniczą wykorzystującą podatną ścieżkę PayPal. Konieczne jest również rozpoczęcie zakupu jako niezalogowany klient i doprowadzenie do pomyślnego zakończenia odpowiedniego procesu płatności. Samo wpisanie adresu administratora w formularzu, bez przejścia przez podatny mechanizm finalizacji transakcji, nie wystarcza do uzyskania sesji.
Kluczowym ograniczeniem jest także stan danych przechowywanych przez Easy Digital Downloads. Według Wordfence scenariusz przejęcia konta administratora wymaga sytuacji, w której istnieje konto WordPressa powiązane z podanym adresem e-mail, ale dla tego administratora nie utworzono wcześniej odpowiedniego rekordu klienta EDD. Właśnie wtedy podatna funkcja może błędnie skojarzyć nowe zamówienie gościnne z istniejącym użytkownikiem. Jeżeli rekord klienta już istnieje, opisany scenariusz nie przebiega w taki sam sposób i nie należy automatycznie zakładać możliwości przejęcia konta.
Ważne jest również to, że problem nie ogranicza się do jednego przycisku płatniczego. Wordfence wskazuje możliwość dotarcia do podatnej funkcji zarówno przez standardowy proces PayPal, jak i określone ścieżki REST wykorzystywane przez UnbrandedCard oraz Fastlane. Oznacza to, że samo wyłączenie przyspieszonej płatności Fastlane nie musi usuwać zagrożenia, jeżeli pozostałe mechanizmy PayPal nadal korzystają z podatnej funkcjonalności.
Podatność jest związana bezpośrednio z Easy Digital Downloads, a nie z podstawowym systemem WooCommerce. Sklepy korzystające wyłącznie z WooCommerce, bez EDD, nie są objęte tym konkretnym błędem uwierzytelniania.
Które wersje Easy Digital Downloads są zagrożone i gdzie znajduje się poprawka?
Według Wordfence i Patchstack podatność występuje we wszystkich wersjach Easy Digital Downloads do 3.7.2 włącznie. Pierwszą potwierdzoną wersją zawierającą poprawkę jest 3.7.3. Zgłoszenie zostało publicznie opublikowane 30 października 2026 roku, a najnowsza zmiana rekordu Wordfence pochodzi z tego samego dnia. W chwili ujawnienia podatności nie podano dla niej odrębnego numeru CVE. Zgłoszenie można zidentyfikować na podstawie opisu Wordfence oraz identyfikatora Patchstack PSID 9ed950a073da.
Oficjalny rejestr zmian Easy Digital Downloads potwierdza, że w wersji 3.7.3 wzmocniono weryfikację kont podczas finalizacji zamówień PayPal. Poprawka dotyczy więc dokładnie tego obszaru działania rozszerzenia, który został wskazany w zgłoszeniu bezpieczeństwa. Aktualizacja do nowego wydania usuwa znany błąd związany z nieprawidłowym powiązaniem tożsamości kupującego z istniejącym kontem WordPressa.
Administrator może sprawdzić wersję rozszerzenia bezpośrednio w panelu WordPressa, przechodząc do sekcji Wtyczki i odnajdując Easy Digital Downloads na liście zainstalowanych komponentów. Jeżeli numer wersji jest równy 3.7.2 lub niższy, należy zastosować wydanie 3.7.3 albo nowszą wersję zawierającą tę poprawkę. Sama aktualizacja WordPressa, PHP lub dodatkowego rozszerzenia PayPal nie stanowi potwierdzonego sposobu usunięcia podatności z podstawowego komponentu Easy Digital Downloads.
Co może zrobić cyberprzestępca po przejęciu konta administratora WordPressa?
Przejęcie konta administratora WordPressa może mieć bardzo poważne konsekwencje dla sklepu internetowego. Konto z takimi uprawnieniami zapewnia zazwyczaj dostęp do zarządzania użytkownikami, ustawieniami strony, wtyczkami, motywami oraz wieloma funkcjami sprzedażowymi. Osoba, która uzyska nieautoryzowaną sesję administracyjną, może próbować modyfikować konfigurację witryny, tworzyć dodatkowe konta użytkowników lub zmieniać ustawienia wykorzystywanych integracji. Zakres dostępnych działań zależy od konfiguracji WordPressa, zastosowanych ograniczeń uprawnień oraz dodatkowych zabezpieczeń środowiska.
W przypadku Easy Digital Downloads szczególne znaczenie mają dane związane z zakupami produktów cyfrowych. Sklep może przechowywać informacje o klientach, historii transakcji, subskrypcjach, licencjach na oprogramowanie oraz plikach udostępnianych po dokonaniu płatności. Przejęcie administratora może umożliwić dostęp do części tych informacji, jeżeli dany użytkownik posiada odpowiednie uprawnienia. W niektórych konfiguracjach możliwe mogą być również nieautoryzowane zmiany dotyczące dostępności produktów, linków do pobierania, ustawień płatności czy integracji z zewnętrznymi usługami.
Szczególnie niebezpieczny jest scenariusz, w którym napastnik wykorzystuje dostęp administracyjny do pozostawienia dodatkowego mechanizmu umożliwiającego ponowne wejście do systemu. Może to oznaczać utworzenie nieznanego konta, zmianę kodu aplikacji albo instalację nieautoryzowanego rozszerzenia, jeżeli konfiguracja serwera dopuszcza takie operacje. Wówczas samo zamknięcie pierwotnej podatności nie musi wystarczyć do przywrócenia bezpieczeństwa sklepu.
Nie ma jednak podstaw, aby twierdzić, że wykorzystanie tej konkretnej luki automatycznie umożliwia kradzież pełnych numerów kart płatniczych lub przejęcie konta PayPal sprzedawcy. Potwierdzonym problemem jest możliwość nieautoryzowanego utworzenia sesji użytkownika WordPressa. Pozostałe skutki zależą od rzeczywistych uprawnień przejętego konta i sposobu zabezpieczenia aplikacji.
Czy podatność oznacza problem z bezpieczeństwem samego PayPal?
Nie. Opisana podatność występuje w Easy Digital Downloads, a nie w mechanizmach uwierzytelniania infrastruktury PayPal. Operator płatności odpowiada za obsługę transakcji, natomiast Easy Digital Downloads przetwarza informacje o zamówieniu i podejmuje decyzję o powiązaniu zakupu z użytkownikiem WordPressa. Problem pojawia się na etapie interpretowania tych danych przez system sklepu, gdy nieprawidłowo wykorzystuje on adres e-mail przekazany przez osobę składającą zamówienie.
To rozróżnienie jest ważne, ponieważ właściciel sklepu może błędnie założyć, że korzystanie z uznanego operatora płatności wystarcza do zabezpieczenia całego procesu zakupowego. Tymczasem nawet prawidłowo przeprowadzona transakcja nie jest automatycznym potwierdzeniem, że osoba płacąca jest właścicielem dowolnego adresu e-mail wpisanego w formularzu sklepu. System sprzedażowy musi niezależnie sprawdzać tożsamość użytkownika przed przyznaniem mu dostępu do istniejącego konta.
Podobna zasada dotyczy innych integracji e-commerce, w których dane z procesu zamawiania są wykorzystywane do tworzenia kont, logowania klientów lub łączenia transakcji z wcześniejszymi zakupami. Potwierdzenie płatności nie powinno zastępować bezpiecznej weryfikacji tożsamości.
Czy podatność Easy Digital Downloads jest już aktywnie wykorzystywana?
Na 31 października 2026 roku w publicznych komunikatach Wordfence i Patchstack nie przedstawiono potwierdzonych danych o aktywnej kampanii przejmowania kont administratorów z wykorzystaniem omawianej podatności. Nie opublikowano również liczby poszkodowanych sklepów ani udokumentowanych przypadków nieautoryzowanego uzyskania sesji administracyjnej za pośrednictwem tego konkretnego błędu.
Patchstack nadał zgłoszeniu średni priorytet operacyjny, mimo że techniczna ocena CVSS wynosi 8,1 punktu i odpowiada wysokiemu poziomowi zagrożenia. Są to dwa różne wskaźniki: CVSS opisuje potencjalną powagę podatności, a priorytet operacyjny uwzględnia dodatkowe okoliczności dotyczące możliwości i prawdopodobieństwa jej wykorzystania. Patchstack wskazuje również, że ze względu na charakter błędu nie jest dostępna standardowa reguła ochronna, która mogłaby go skutecznie wyeliminować bez aktualizacji podatnej aplikacji.
Brak potwierdzonych ataków nie oznacza jednak, że można bezpiecznie odkładać instalację poprawki. Podatność została publicznie opisana, a jej potencjalne skutki obejmują przejęcie konta administratora. Z perspektywy właściciela sklepu jest to wystarczający powód do pilnego zaktualizowania systemu sprzedaży.
Jak zabezpieczyć sklep Easy Digital Downloads przed przejęciem konta?
Najważniejszym działaniem jest aktualizacja Easy Digital Downloads do wersji 3.7.3 lub nowszej. Przed aktualizacją sklepu produkcyjnego warto wykonać sprawdzoną kopię zapasową plików i bazy danych, a w przypadku rozbudowanych instalacji również przeprowadzić podstawowe testy zgodności z dodatkowymi rozszerzeniami. Po zainstalowaniu poprawki należy sprawdzić wersję aktywnej wtyczki, działanie procesu zakupowego oraz poprawność obsługi płatności PayPal.
Szczególnie ważne jest przetestowanie zakupów realizowanych przez niezalogowanych klientów, ponieważ poprawka dotyczy procesu powiązania zamówienia z istniejącym użytkownikiem. Administrator powinien również sprawdzić, czy transakcje zakończone przez PayPal otrzymują właściwe statusy, czy klient otrzymuje poprawne potwierdzenie zakupu oraz czy dostęp do pobranych produktów jest przyznawany prawidłowemu użytkownikowi. W przypadku sklepów wykorzystujących Fastlane lub dodatkowe metody płatności kartą obsługiwane przez PayPal należy zweryfikować także ich poprawne działanie po aktualizacji.
Jeżeli natychmiastowa aktualizacja nie jest możliwa, rozsądnym rozwiązaniem tymczasowym jest wyłączenie podatnej integracji PayPal do czasu zastosowania poprawki. Trzeba jednak uwzględnić wszystkie dostępne ścieżki realizacji płatności przez ten system, ponieważ zagrożenie nie ogranicza się wyłącznie do Fastlane. Samo wyłączenie jednego wariantu płatności nie daje gwarancji, że podatna funkcja przestanie być wywoływana.
Warto również włączyć uwierzytelnianie wieloskładnikowe dla kont administracyjnych, ograniczyć liczbę użytkowników posiadających najwyższe uprawnienia i zapewnić rejestrowanie istotnych zdarzeń związanych z logowaniem. Są to działania uzupełniające, które poprawiają ogólny poziom bezpieczeństwa WordPressa. Nie stanowią jednak zamiennika aktualizacji, ponieważ omawiany błąd może prowadzić do utworzenia sesji poza zwykłym formularzem logowania.
Jak sprawdzić, czy konto administratora WordPressa zostało przejęte?
W sklepach, które korzystały z podatnej wersji Easy Digital Downloads, warto przeanalizować historię zamówień PayPal oraz dostępne dzienniki logowania. Szczególnie interesujące mogą być transakcje składane przez osoby niezalogowane, w których podano adres e-mail administratora lub innego użytkownika z wysokimi uprawnieniami. Należy jednak pamiętać, że samo wystąpienie takiego adresu w zamówieniu nie jest wystarczającym dowodem ataku. Kluczowe znaczenie ma ustalenie, czy zamówienie zostało następnie powiązane z istniejącym kontem WordPressa i czy doszło do utworzenia nieautoryzowanej sesji.
Pomocna może być analiza dostępnych logów bezpieczeństwa, zwłaszcza jeżeli sklep korzysta z dodatkowej wtyczki rejestrującej logowania, aktywność użytkowników i zmiany w panelu administracyjnym. Warto sprawdzić nietypowe adresy IP, nieoczekiwane sesje administratorów oraz działania wykonywane w okresach, w których właściciel konta nie korzystał z zaplecza sklepu. Nie wszystkie instalacje WordPressa posiadają jednak szczegółowe dzienniki takich operacji, dlatego brak odpowiedniego wpisu nie oznacza automatycznie, że do ataku nie doszło.
Administrator powinien zwrócić uwagę również na ewentualne nieautoryzowane modyfikacje ustawień WordPressa, zmiany adresów e-mail użytkowników, utworzenie nieznanych kont administracyjnych oraz instalację dodatkowych wtyczek. W przypadku Easy Digital Downloads szczególnego znaczenia nabiera kontrola konfiguracji płatności, danych związanych ze sprzedażą i uprawnień przyznanych użytkownikom systemu.
Jeżeli istnieje podejrzenie skutecznego przejęcia konta, warto zabezpieczyć kopie logów oraz informacje o podejrzanych zamówieniach przed przeprowadzaniem zmian, które mogłyby usunąć materiał potrzebny do analizy incydentu.
Co zrobić w przypadku potwierdzonego przejęcia administratora?
Jeżeli analiza potwierdzi, że osoba nieuprawniona uzyskała sesję administratora WordPressa, należy potraktować sytuację jako poważny incydent bezpieczeństwa. W pierwszej kolejności trzeba zamknąć podatną ścieżkę uwierzytelniania poprzez aktualizację Easy Digital Downloads, a następnie unieważnić potencjalnie przejęte sesje użytkowników. Konieczna może być również zmiana haseł administracyjnych i danych uwierzytelniających do usług powiązanych ze sklepem.
Sam reset hasła administratora nie wystarczy, jeżeli cyberprzestępca nadal posiada ważną sesję albo zdążył utworzyć dodatkowy mechanizm dostępu do witryny. Dlatego należy dokładnie sprawdzić listę użytkowników, role i uprawnienia, integralność plików WordPressa oraz wszystkie zmiany dokonane w okresie potencjalnego naruszenia bezpieczeństwa. W przypadku wykrycia nieautoryzowanych plików lub rozszerzeń konieczne może być odtworzenie odpowiednich elementów aplikacji z zaufanych źródeł.
Jeżeli incydent dotyczył danych klientów, zamówień lub licencji, należy ustalić zakres ujawnionych informacji. W przypadku naruszenia danych osobowych administrator danych powinien ocenić obowiązki wynikające z RODO, w tym ewentualną konieczność zgłoszenia naruszenia właściwemu organowi nadzorczemu. Zgłoszenie może być wymagane zasadniczo w ciągu 72 godzin od stwierdzenia naruszenia, jeżeli spełnione są przesłanki określone w przepisach. Sam fakt posiadania podatnej wersji Easy Digital Downloads nie oznacza jednak automatycznie, że doszło do wycieku danych.
Dlaczego właściciele sklepów nie powinni lekceważyć tej podatności?
Podatność ujawniona 30 października 2026 roku w Easy Digital Downloads pokazuje, jak poważne konsekwencje może mieć nieprawidłowe powiązanie danych z formularza zakupowego z istniejącym kontem użytkownika. W tym przypadku źródłem problemu nie jest słabe hasło ani brak zabezpieczenia samej bramki PayPal, lecz zaufanie do adresu e-mail przekazanego przez osobę niezalogowaną. Jeżeli aplikacja wykorzysta taką informację do utworzenia sesji istniejącego użytkownika, może dojść do obejścia podstawowych mechanizmów uwierzytelniania WordPressa.
Najbardziej niebezpieczny scenariusz dotyczy przejęcia konta administratora, które zapewnia szerokie możliwości zarządzania sklepem i jego konfiguracją. Nie oznacza to jednak, że każdy sklep korzystający z Easy Digital Downloads i PayPal jest automatycznie podatny na przejęcie dowolnego konta. Wykorzystanie błędu wymaga określonej konfiguracji, odpowiedniego stanu rekordów klientów i przeprowadzenia transakcji przez podatny mechanizm płatności.
Dla właścicieli sklepów najważniejsze jest natychmiastowe sprawdzenie numeru wersji Easy Digital Downloads i aktualizacja do wydania 3.7.3 lub nowszego. Warto również skontrolować historię zamówień PayPal, aktywność administratorów i integralność instalacji WordPressa. Brak potwierdzonych masowych ataków nie zmienia faktu, że podatność otrzymała wysoką ocenę CVSS 8,1, a jej potencjalne skutki mogą obejmować utratę kontroli nad całym sklepem. Bezpieczne uwierzytelnianie klientów powinno opierać się na rzeczywistej weryfikacji ich tożsamości, a nie wyłącznie na zgodności adresu e-mail wpisanego podczas zakupu.