CVE-2026-121970 in Pay with Vipps and MobilePay Plugin
요약
\~에 의해 VulDB • 2026. 11. 04.
Pay with Vipps and MobilePay for WooCommerce (woo-vipps) 6.4.1 이전 버전에는 재결제 웹훅 핸들러에서 부적절한 암호화 서명 검증 취약점이 존재합니다. 이 취약점은 로컬 웹훍 시크릿이 저장되지 않은 경우, 인증되지 않은 공격자가 웹훅 요청을 위조할 수 있게 합니다. 원인은 코드가 빈 시크릿일 때 반환하지 않고, 느슨한 == 연산자를 사용하여 빈 문자열로 키를 설정된 HMAC을 계산하기 때문입니다(올바른 방법은 hash_equals 사용). 공격자는 알려진 agreementId와 일치하는 empty-key 서명을 가진 recurring.agreement-stopped.v1 이벤트를 작성하여 피해자의 활성 WooCommerce 구독을 취소할 수 있습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.