CVE-2026-123145 Contraseña de cliente almacenada en texto plano en WooCommerce Stripe Payment Gateway
El plugin no excluye la contraseña de la cuenta de los campos de checkout que guarda en los metadatos del pedido durante el express checkout, por lo que la contraseña que el cliente elige al crear una cuenta en el checkout queda almacenada en texto plano en la base de datos, legible por cualquiera con acceso a los datos de pedidos o a la base de datos. La versión 11.1.0 las elimina al actualizar; las contraseñas almacenadas de esta forma deben considerarse expuestas.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,1 % · percentil 3
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
WooCommerce Stripe Payment Gateway
desde 10.9.0 hasta antes de 11.1.0
Qué hacer
- Verificá si usás WooCommerce Stripe Payment Gateway y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
The WooCommerce Stripe Payment Gateway WordPress plugin before 11.1.0 does not exclude the account password from the checkout fields it saves to order metadata during express checkout, causing the password a customer chooses when creating an account at checkout to be stored in plaintext in the database, readable by anyone with access to order data or the database. Version 10.9.0 stored the passwords. Version 10.9.1 stopped new ones from being stored but left existing ones in place, and version 11.1.0 removes them on update. Passwords stored this way should be considered exposed.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.