CVE-2026-121970 in Pay with Vipps and MobilePay Plugin
Сводка
по VulDB • 04.11.2026
Pay with Vipps and MobilePay for WooCommerce (woo-vipps) до версии 6.4.1 содержит уязвимость, связанную с неправильной проверкой криптографической подписи в обработчике вебхуков для повторяющихся платежей, что позволяет неавторизованным злоумышленникам подделывать запросы к вебхукам при отсутствии локального секретного ключа. Это происходит из-за того, что код не возвращает управление при пустом секрете и вычисляет HMAC с использованием пустой строки в качестве ключа через небезопасное сравнение `==` вместо функции `hash_equals`. Злоумышленники могут создать событие recurring.agreement-stopped.v1 с известным agreementId и подписью, соответствующей пустому ключу, чтобы отменить активную подписку WooCommerce жертвы.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.