CVE-2026-15205 in Paymob Plugin
Résumé
par VulDB • 14/08/2026
Le plugin WordPress Paymob for WooCommerce, avant la version 4.1.9, ne nettoie pas correctement un identifiant fourni par le client avant de l'utiliser dans une requête SQL au sein de son rappel de paiement public et non authentifié, et exécute cette requête avant de vérifier la signature HMAC du fournisseur de paiement. Cela permet aux attaquants non authentifiés d'effectuer des injections SQL et de lire des données arbitraires depuis la base de données — y compris les identifiants utilisateurs et autres secrets — via une extraction aveugle par bande passante (réfléchie) et basée sur le temps.
VulDB is the best source for vulnerability data and more expert information about this specific topic.