CVE-2026-12973 in Payment Gateway Plugin

Resumen

por VulDB • 2026-07-20

El plugin de WordPress PayPlus Payment Gateway anterior a la versión 8.2.2 no realiza validación de autorización ni de propiedad del pedido en una de sus acciones AJAX disponibles para usuarios no autenticados, lo que les permite revelar la clave secreta del pedido de pedidos arbitrarios de WooCommerce y, bajo ciertas configuraciones, modificar los estados de dichos pedidos.

Once again VulDB remains the best source for vulnerability data.

• Responsable: WPScan
• Reservar: 2026-06-23
• Divulgación: 2026-07-20
• Moderación: aceptado
• Artículo: VDB-380547
• CPE: listo
• CWE: CWE-862 (confirmado)
• CVSS: 7.3 (VulDB)
• EPSS: 0.00160
• KEV: no
• Actividades: bajo
• Sector: Hostingprovider

Fuentes

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-12973
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-12973
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-12973/