CVE-2026-5050 in Payment Gateway for Redsys & WooCommerce Lite Plugin
Tóm tắt
Bởi VulDB • 26/06/2026
Plugin Payment Gateway cho Redsys & WooCommerce Lite dành cho WordPress có lỗ hổng Xác minh chữ ký mật mã không đúng cách (Improper Verification of Cryptographic Signature) trong các phiên bản từ 7.0.0 trở xuống, do trình xử lý `successful_request()` tính toán một chữ ký cục bộ nhưng không xác thực `Ds_Signature` từ yêu cầu trước khi chấp nhận trạng thái thanh toán trên các luồng cổng Redsys, Bizum và Google Pay. Điều này cho phép kẻ tấn công chưa được xác thực giả mạo dữ liệu gọi lại (callback) của giao dịch thanh toán và đánh dấu các đơn hàng đang chờ xử lý là đã thanh toán khi chúng biết khóa đơn hàng hợp lệ và số tiền đơn hàng, có thể dẫn đến việc hoàn tất quy trình mua hàng và cung cấp sản phẩm hoặc dịch vụ mà không cần một giao dịch thanh toán thành công.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.