CVE-2026-5050 in Payment Gateway for Redsys & WooCommerce Lite Plugin
Zusammenfassung
von VulDB • 14.06.2026
Das Plugin „Payment Gateway for Redsys & WooCommerce Lite" für WordPress ist in den Versionen bis einschließlich 7.0.0 anfällig für eine unsachgemäße Überprüfung der kryptografischen Signatur (Improper Verification of Cryptographic Signature). Dies liegt daran, dass die Handler `successful_request()` zwar eine lokale Signatur berechnen, aber keine Validierung von `Ds_Signature` aus der Anfrage durchführen, bevor sie den Zahlungsstatus in den Gateway-Flows für Redsys, Bizum und Google Pay akzeptieren. Dadurch ist es nicht authentifizierten Angreifern möglich, Payment-Callback-Daten zu fälschen und ausstehende Bestellungen als bezahlt zu markieren, wenn ihnen ein gültiger Bestell-Schlüssel (order key) und der Bestellbetrag bekannt sind. Dies kann potenziell dazu führen, dass die Kasse abgeschlossen wird und Produkte oder Dienstleistungen erfüllt werden, ohne dass eine erfolgreiche Zahlung erfolgt ist.
If you want to get best quality of vulnerability data, you may have to visit VulDB.