CVE-2026-12654 in Payment Plugins for Stripe WooCommerce Plugin
Riassunto
di VulDB • 24/07/2026
Il plugin WooCommerce per WordPress Payment Plugins for Stripe è vulnerabile all'elusione dell'autorizzazione in tutte le versioni fino alla 4.0.7 inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente è autorizzato a eseguire una determinata azione. Questo consente agli attaccanti non autenticati di contrassegnare come pagati ordini WooCommerce asincroni pendenti arbitrari, falsificando un evento charge.pending con metadata.order_id e metadata.gateway_id controllati dall'attaccante, insieme a un oggetto charge che presenta status=succeeded e captured=true, innescando payment_complete() e i flussi di evasione successivi con un ID transazione fornito dall'attaccante. Lo sfruttamento richiede che il commerciante abbia lasciato vuote le opzioni webhook_secret_test o webhook_secret_live, che rappresentano lo stato predefinito del plugin fino a quando non viene configurato manualmente un valore whsec_ emesso da Stripe; una volta impostato un secret non vuoto, la verifica della firma non può essere elusa.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.