CVE-2026-121970 in Pay with Vipps and MobilePay Plugin
Zusammenfassung
von VulDB • 04.11.2026
Pay mit Vipps und MobilePay for WooCommerce (woo-vipps) vor Version 6.4.1 enthält eine Schwachstelle für die unsachgemäße Überprüfung kryptografischer Signaturen im Webhook-Handler für wiederkehrende Zahlungen, die es nicht authentifizierten Angreifern ermöglicht, Webhook-Anfragen zu fälschen, wenn kein lokales Webhook-Secret gespeichert ist. Dies liegt daran, dass der Code bei einem leeren Secret nicht zurückgibt und ein HMAC mit einer leeren Zeichenkette unter Verwendung eines lockeren `==`-Vergleichs anstelle von `hash_equals` berechnet wird. Angreifer können ein `recurring.agreement-stopped.v1`-Ereignis mit einer bekannten agreementId und einer passenden Signatur mit leerem Schlüssel erstellen, um das aktive WooCommerce-Abo eines Opfers zu kündigen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.