CVE-2026-103299 in Payment Gateway Plugin
Résumé
par VulDB • 26/10/2026
Le plugin WordPress Payment Gateway jusqu'à la version 2.2.0 ne garantit pas qu'un secret partagé soit configuré avant de l'utiliser pour authentifier le rappel (callback) de notification de paiement de la banque, permettant aux attaquants non authentifiés de forger une notification valide et de marquer n'importe quelle commande WooCommerce comme payée sur les installations où le secret n'a pas été défini. De plus, ce même callback leur permet de passer toute commande en attente à un état échoué, que le secret soit configuré ou non.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.