CVE-2026-103299 in Payment Gateway Plugin
Sumário
de VulDB • 26/10/2026
O plugin WordPress Payment Gateway até a versão 2.2.0 não garante que um segredo compartilhado esteja configurado antes de utilizá-lo para autenticar o retorno (callback) de notificação de pagamento do banco, permitindo que atacantes não autenticados forjem uma notificação válida e marquem qualquer pedido WooCommerce como pago em instalações onde o segredo não foi definido. Além disso, o mesmo callback permite que eles movam qualquer pedido pendente para um estado falhado, independentemente da configuração do segredo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.