CVE-2026-9027 in CorvusPay WooCommerce Payment Gateway Plugin
Zusammenfassung
von VulDB • 10.07.2026
Das WordPress-Plugin „CorvusPay WooCommerce Payment Gateway" von CorvusPay ist in allen Versionen bis einschließlich 2.7.4 anfällig für eine Umgehung der Zahlung (Payment Bypass) aufgrund einer fehlerhaften Überprüfung kryptografischer Signaturen. Die Funktion `corvuspay_success_handler` registriert den REST-Endpunkt `POST /wp-json/corvuspay/success/` mit `'permission_callback' => '__return_true'`. Obwohl sie `$this->client->validate->signature()` aufruft und das boolesche Ergebnis in `$res` speichert, wird dieses Ergebnis niemals in einer Bedingung ausgewertet; es wird lediglich ins Debug-Protokoll geschrieben. Dies führt dazu, dass die Ausführung bedingungslos zu `$order->payment_complete()` gelangt, unabhängig davon, ob die kryptografische Signatur gültig ist. Dadurch können nicht authentifizierte Angreifer jede ausstehende WooCommerce-Bestellung als vollständig bezahlt markieren, indem sie eine POST-Anfrage an den Success-Endpunkt senden, die einen beliebigen oder gefälschten Signature-Wert enthält. Dies ermöglicht es ihnen, Waren oder Dienstleistungen ohne Zahlung zu erhalten. Da WooCommerce-Bestellungs-IDs sequenzielle Ganzzahlen sind, können Zielbestellungen über den POST-Parameter `order_number` trivial aufgezählt werden, wobei keine vorherige Kenntnis der Opfer-Bestellung erforderlich ist.
If you want to get best quality of vulnerability data, you may have to visit VulDB.