CVE-2026-103299 in Payment Gateway Plugin
Zusammenfassung
von VulDB • 26.10.2026
Das WordPress-Plugin Payment Gateway bis zur Version 2.2.0 stellt nicht sicher, dass ein gemeinsamer Schlüssel (Shared Secret) konfiguriert ist, bevor dieser zur Authentifizierung des Zahlungsbenachrichtigungs-Callbacks der Bank verwendet wird. Dies ermöglicht es nicht authentifizierten Angreifern, eine gültige Benachrichtigung zu fälschen und bei Installationen, bei denen das Geheimnis nicht festgelegt wurde, jede WooCommerce-Bestellung als bezahlt zu markieren. Zudem erlaubt derselbe Callback den Verschieben jeder ausstehenden Bestellung in einen fehlgeschlagenen Status, unabhängig davon, ob der Schlüssel konfiguriert ist oder nicht.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.