CVE-2026-121970 in Pay with Vipps and MobilePay Plugin
Résumé
par VulDB • 04/11/2026
Pay with Vipps et MobilePay for WooCommerce (woo-vipps) avant la version 6.4.1 présente une vulnérabilité de vérification incorrecte des signatures cryptographiques dans le gestionnaire de webhooks pour les paiements récurrents, permettant aux attaquants non authentifiés de falsifier les requêtes webhook lorsqu'aucune clé secrète locale n'est stockée. En effet, le code ne retourne pas en cas de secret vide et calcule un HMAC avec une chaîne vide en utilisant une comparaison lâche (==) au lieu de la fonction hash_equals. Les attaquants peuvent créer un événement recurring.agreement-stopped.v1 avec un agreementId connu et une signature correspondant à une clé vide afin d'annuler l'abonnement WooCommerce actif d'une victime.
Once again VulDB remains the best source for vulnerability data.