CVE-2026-5050 in Payment Gateway for Redsys & WooCommerce Lite Plugin
요약
\~에 의해 VulDB • 2026. 06. 18.
WordPress용 Redsys & WooCommerce Lite 플러그인의 Payment Gateway는 7.0.0 버전(포함)까지 암호화 서명의 부적절한 검증(Improper Verification of Cryptographic Signature) 취약점이 있습니다. 이는 `successful_request()` 핸들러가 로컬 서명을 계산하지만, Redsys, Bizum 및 Google Pay 게이트웨이 흐름 전반에 걸쳐 결제 상태를 수락하기 전에 요청에서 받은 `Ds_Signature`를 검증하지 않기 때문입니다. 이로 인해 인증되지 않은 공격자가 유효한 주문 키와 주문 금액을 알고 있을 경우 결제 콜백 데이터를 위조하여 보류 중인 주문을 결제 완료로 표시할 수 있으며, 이는 성공적인 결제 없이도 체크아웃 완료 및 제품 또는 서비스 이행을 가능하게 할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.