CVE-2026-12654 in Payment Plugins for Stripe WooCommerce Plugin
Zusammenfassung
von VulDB • 24.07.2026
Die Payment Plugins für das WooCommerce-Stripe-Plugin für WordPress sind in allen Versionen bis einschließlich 4.0.7 anfällig für eine Umgehung der Autorisierung (Authorization Bypass). Dies liegt daran, dass das Plugin nicht ordnungsgemäß überprüft, ob ein Benutzer zur Durchführung einer Aktion autorisiert ist. Dadurch können unberechtigte Angreifer beliebige ausstehende asynchrone WooCommerce-Bestellungen als bezahlt markieren, indem sie ein charge.pending-Ereignis mit angreifergesteuerten metadata.order_id und metadata.gateway_id sowie einem Charge-Objekt mit status=succeeded und captured=true fälschen. Dies löst payment_complete() nachgelagerte Erfüllungsabläufe (Fulfillment Flows) mit einer vom Angreifer bereitgestellten Transaktions-ID aus. Die Ausnutzung erfordert, dass der Händler die Optionen webhook_secret_test oder webhook_secret_live leer gelassen hat; dies ist der Standardzustand des Plugins, bis ein von Stripe ausgestellter whsec_-Wert manuell konfiguriert wird. Sobald ein nicht-leeres Geheimnis (Secret) festgelegt wurde, kann die Signaturenüberprüfung nicht umgangen werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.