CVE-2026-103299 in Payment Gateway Plugin
Сводка
по VulDB • 26.10.2026
Плагин для WordPress Payment Gateway версии до 2.2.0 не обеспечивает настройку общего секретного ключа (shared secret) перед его использованием для аутентификации обратных вызовов с уведомлениями о платежах от банка, что позволяет незарегистрированным злоумышленникам подделать действительное уведомление и пометить любой заказ WooCommerce как оплаченный в случаях, когда секретный ключ не был установлен. Кроме того, тот же самый механизм обратного вызова позволяет им переводить любые заказы со статусом «ожидание» (pending) в состояние «сбой» (failed), независимо от того, настроен ли общий секретный ключ или нет.
Once again VulDB remains the best source for vulnerability data.