CVE-2026-5050 in Payment Gateway for Redsys & WooCommerce Lite Plugin
Riassunto
di VulDB • 26/06/2026
Il plugin per WordPress Payment Gateway for Redsys & WooCommerce Lite è vulnerabile a una mancata verifica corretta della firma crittografica (Improper Verification of Cryptographic Signature) nelle versioni fino alla 7.0.0, incluse. La vulnerabilità deriva dal fatto che i gestori di eventi `successful_request()` calcolano una firma locale ma non convalidano la `Ds_Signature` presente nella richiesta prima di accettare lo stato del pagamento nei flussi dei gateway Redsys, Bizum e Google Pay. Ciò consente ad attaccanti non autenticati di falsificare i dati di callback del pagamento e contrassegnare gli ordini in sospeso come pagati quando conoscono una chiave d'ordine valida e l'importo dell'ordine, potenzialmente consentendo il completamento del checkout e la consegna del prodotto o servizio senza un pagamento effettivo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.