CVE-2026-103310 Evasión de pago sin autenticación en PayHere Payment Gateway
El plugin de WordPress PayHere Payment Gateway, de la versión 2.4.0 a la 2.4.5, no verifica la autenticidad de las notificaciones de pago cuando el secreto del comerciante no está configurado, que es el estado predeterminado. Esto permite a atacantes no autenticados falsificar una confirmación de pago y marcar cualquier pedido como pagado sin realizar el pago.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,1 % · percentil 1
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
PayHere Payment Gateway
desde 2.4.0 hasta 2.4.5
Qué hacer
- Verificá si usás PayHere Payment Gateway y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The PayHere Payment Gateway WordPress plugin from 2.4.0 through 2.4.5 does not verify the authenticity of payment notifications when the merchant secret is unset, which is the default state, allowing unauthenticated attackers to forge a payment confirmation and mark any order as paid without payment.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.