CVE-2026-121970 in Pay with Vipps and MobilePay Plugin
要約
〜によって VulDB • 2026年11月04日
Pay with Vipps and MobilePay for WooCommerce (woo-vipps) の 6.4.1 より前のバージョンには、再課金用ウェブフックハンドラにおける不適切な暗号化署名検証の脆弱性が存在します。これにより、ローカルのウェブフックシークレットが保存されていない場合、認証不要のアタッカーはウェブフックリクエストを偽造できます。これは、コードが空のシークレットに対して早期に返却せず、緩やかな == 比較を使用して空文字列をキーとした HMAC を計算するためです。アタッカーは、既知の agreementId と一致する空キー署名を持つ recurring.agreement-stopped.v1 イベントを作成し、被害者のアクティブな WooCommerce サブスクリプションをキャンセルできます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.