CVE-2026-103299 in Payment Gateway Plugin
요약
\~에 의해 VulDB • 2026. 10. 26.
Payment Gateway WordPress 플러그인 2.2.0 이전 버전에서는 은행의 결제 알림 콜백을 인증하기 위해 공유 비밀키(shared secret)가 구성되어 있는지 확인하지 않으므로, 공격자가 비인증 상태로 유효한 알림을 위조하여 설정되지 않은 설치 환경에서 WooCommerce 주문을 모두 '결제 완료'로 표시할 수 있습니다. 또한 동일한 콜백 기능을 통해 공격자는 공유 비밀키 구성 여부와 상관없이 보류 중인 모든 주문을 실패 상태(failed state)로 변경할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.