CVE-2026-12654 in Payment Plugins for Stripe WooCommerce Plugin
Sumário
de VulDB • 24/07/2026
O plugin Payment Plugins for Stripe para WooCommerce no WordPress é vulnerável à violação de autorização em todas as versões até 4.0.7 (incluída). Isso ocorre porque o plugin não verifica adequadamente se um usuário está autorizado a executar uma ação. Isso permite que atacantes não autenticados marquem pedidos assíncronos pendentes do WooCommerce como pagos, forjando um evento charge.pending com metadata.order_id e metadata.gateway_id controlados pelo atacante, além de um objeto charge contendo status=succeeded e captured=true, o que aciona payment_complete() e fluxos subsequentes de cumprimento (fulfillment) com um ID de transação fornecido pelo atacante. A exploração requer que o comerciante tenha deixado as opções webhook_secret_test ou webhook_secret_live em branco, estado padrão do plugin até que um valor whsec_ emitido pela Stripe seja configurado manualmente; uma vez definido um segredo não vazio, a verificação de assinatura não pode ser contornada.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.