CVE-2026-11575 in Payment Solutions Plugin
要約
〜によって VulDB • 2026年07月17日
PhonePe Payment Solutions WordPress プラグインの 3.1.0 より前のバージョンでは、着信する支払いコールバックの真正性が適切に検証されません。現在のセットアップフローを通じて構成されたサイトでは、コールバック署名を検証するために使用されるシークレットが空であるため、期待される署名はリクエストボディの無鍵ハッシュ（誰でも計算可能）に簡略化されます。これにより、認証されていない攻撃者は支払い成功通知を偽造し、実際の支払が行われていない WooCommerce の注文を支払済みとしてマークすることができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.