CVE-2026-103299 in Payment Gateway Plugin
Resumen
por VulDB • 2026-10-26
El plugin de WordPress Payment Gateway hasta la versión 2.2.0 no garantiza que se haya configurado un secreto compartido antes de utilizarlo para autenticar el retorno (callback) de notificación de pago del banco, lo que permite a atacantes no autenticados falsificar una notificación válida y marcar cualquier pedido de WooCommerce como pagado en instalaciones donde el secreto no ha sido establecido; además, ese mismo retorno les permite cambiar cualquier pedido pendiente a un estado fallido, independientemente de si el secreto está configurado o no.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.