CVE-2026-5050 in Payment Gateway for Redsys & WooCommerce Lite Plugin
要約
〜によって VulDB • 2026年06月14日
WordPress用プラグイン「Redsys & WooCommerce Lite」のPayment Gatewayには、バージョン7.0.0以前において、暗号化された署名の不十分な検証（Improper Verification of Cryptographic Signature）に関する脆弱性が存在します。これは、`successful_request()` ハンドラーがローカルで署名を計算するものの、Redsys、Bizum、Google Payのゲートウェイフローを通じて支払いステータスを受け入れる前にリクエストからの `Ds_Signature` を検証していないことに起因します。これにより、認証されていない攻撃者は有効な注文キーと注文金額を知っている場合に限り、支払いコールバックデータを偽造し、保留中の注文を「支払済み」としてマークすることが可能になります。その結果、正当な決済が行われなくてもチェックアウトの完了や商品・サービスの履行が許可される可能性があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.