CVE-2026-5050 in Payment Gateway for Redsys & WooCommerce Lite Plugin
Résumé
par VulDB • 31/05/2026
Le plugin WordPress Payment Gateway for Redsys & WooCommerce Lite présente une vulnérabilité de type « Vérification incorrecte de la signature cryptographique » dans les versions 7.0.0 et antérieures. Cette faille est due au fait que les gestionnaires (handlers) de la fonction `successful_request()` calculent une signature locale sans valider la signature `Ds_Signature` provenant de la requête avant d'accepter le statut de paiement dans les flux de passerelle Redsys, Bizum et Google Pay. Cela permet à des attaquants non authentifiés de falsifier les données de rappel de paiement et de marquer les commandes en attente comme payées lorsqu'ils connaissent une clé de commande valide et le montant de la commande, permettant potentiellement de finaliser le processus de paiement et de livrer le produit ou le service sans que le paiement n'ait été effectué avec succès.
If you want to get best quality of vulnerability data, you may have to visit VulDB.