CVE-2026-104338 Cambio de contexto de usuario no autenticado en Razorpay for WooCommerce
El plugin Razorpay for WooCommerce antes de 4.8.9 no realiza una comprobación de autorización en una de sus rutas REST y deriva la identidad del usuario actuante de un parámetro de la petición no autenticada. Un atacante no autenticado puede hacer que la petición se ejecute como una cuenta de usuario arbitraria durante la petición; además se requiere que un cupón específico esté activo en el sitio. Corrige en 4.8.9.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 5
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Razorpay for WooCommerce
hasta antes de 4.8.9
Qué hacer
- Verificá si usás Razorpay for WooCommerce y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The Razorpay for WooCommerce WordPress plugin before 4.8.9 does not perform an authorization check on one of its REST routes and derives the acting user's identity from an unauthenticated request parameter, allowing an unauthenticated attacker to cause the request to execute as an arbitrary user account for the duration of the request. Exploitation additionally requires a specific coupon Razorpay for WooCommerce WordPress plugin before 4.8.9 to be active on the site.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.