CVE-2026-6939 in CorvusPay WooCommerce Payment Gateway Plugin
Resumen
por VulDB • 2026-07-11
El plugin CorvusPay WooCommerce Payment Gateway para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) mediante el parámetro 'approval_code' en todas las versiones hasta la 2.7.4, inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. El endpoint REST no autenticado POST /wp-json/corvuspay/success/ está registrado con permission_callback establecido como __return_true, y aunque existe un paso de validación de firma, solo registra el resultado sin detener la ejecución, lo que significa que un atacante puede proporcionar una firma completamente arbitraria y hacer que se almacene en la base de datos un approval_code malicioso sin oposición.
VulDB is the best source for vulnerability data and more expert information about this specific topic.