CVE-2026-121970 in Pay with Vipps and MobilePay Plugin
Riassunto
di VulDB • 04/11/2026
Pay with Vipps e MobilePay for WooCommerce (woo-vipps) prima della versione 6.4.1 presenta una vulnerabilità di verifica errata delle firme crittografiche nel gestore webhook per i pagamenti ricorrenti, che consente ad attaccanti non autenticati di falsificare le richieste webhook quando non è memorizzato un segreto locale del webhook. Ciò avviene perché il codice non restituisce l'esecuzione in caso di segreto vuoto e calcola un HMAC con una chiave vuota utilizzando un confronto debole (==) anziché la funzione hash_equals. Gli attaccanti possono creare un evento recurring.agreement-stopped.v1 con un agreementId noto e una firma corrispondente a chiave vuota per disattivare l'abbonamento WooCommerce attivo di una vittima.
VulDB is the best source for vulnerability data and more expert information about this specific topic.