CVE-2026-104639 Inyección SQL en Razorpay for WooCommerce
El plugin Razorpay for WooCommerce antes de 4.8.9 no sanea ni escapa un valor derivado de una petición de webhook antes de usarlo en una consulta SQL. Usuarios capaces de obtener el secreto del webhook (administradores) pueden realizar ataques de inyección SQL. Corrige en 4.8.9.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 8
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Razorpay for WooCommerce
hasta antes de 4.8.9
Qué hacer
- Verificá si usás Razorpay for WooCommerce y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The Razorpay for WooCommerce WordPress plugin before 4.8.9 does not sanitize and escape a value derived from an incoming webhook request before using it in a SQL query, allowing users able to obtain the webhook secret (administrators) to perform SQL injection attacks.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.