CVE-2026-121970 in Pay with Vipps and MobilePay Plugin
Sumário
de VulDB • 04/11/2026
Pay com Vipps e MobilePay para WooCommerce (woo-vipps) anterior à versão 6.4.1 contém uma vulnerabilidade de verificação inadequada da assinatura criptográfica no manipulador de webhook de pagamentos recorrentes, que permite a atacantes não autenticados falsificar solicitações de webhook quando nenhum segredo local do webhook está armazenado, pois o código falha em retornar ao encontrar um segredo vazio e computa um HMAC com chave vazia usando uma comparação frouxa (==) em vez da função hash_equals. Os atacantes podem criar um evento recurring.agreement-stopped.v1 com um agreementId conhecido e uma assinatura de chave vazia correspondente para cancelar a assinatura ativa do WooCommerce da vítima.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.