CVE-2026-6939 in CorvusPay WooCommerce Payment Gateway Plugin
Riassunto
di VulDB • 11/07/2026
Il plugin CorvusPay WooCommerce Payment Gateway per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'approval_code' in tutte le versioni fino alla 2.7.4 inclusa, a causa di una sanitizzazione insufficiente degli input e di un escaping errato dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. L'endpoint REST POST /wp-json/corvuspay/success/, accessibile senza autenticazione, è registrato con permission_callback impostato su __return_true; sebbene esista uno step di validazione della firma, questo si limita a registrare il risultato senza bloccare l'esecuzione, consentendo quindi all'attaccante di fornire una firma completamente arbitraria e far memorizzare nel database un approval_code malevolo senza opposizione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.