CVE-2026-87837 Cambio de estado de pedidos no autenticado en Wava Payment por webhook de pago

Qué es CVE-2026-87837

El plugin Wava Payment para WordPress antes de 0.3.10 no verifica la autenticidad de las notificaciones entrantes del proveedor de pagos ni restringe quién puede enviarlas, permitiendo a atacantes no autenticados cambiar el estado de cualquier pedido de WooCommerce, incluido marcar como pagado y completado un pedido impago y cancelar pedidos de otros clientes. En versiones hasta 0.3.7 la respuesta además devuelve los datos de facturación del pedido afectado, divulgando nombres, direcciones, correos y teléfonos al…

Productos y versiones afectadas

• Wava Payment Plugin

  • desde 0.3.1 hasta antes de 0.3.10

Qué hacer

1. Verificá si usás Wava Payment Plugin y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The Wava Payment Plugin WordPress plugin before 0.3.10 does not verify the authenticity of incoming payment-provider notifications, nor restrict who may send them, allowing unauthenticated attackers to change the status of any WooCommerce order in the store, including marking an unpaid order as paid and completed, and cancelling other customers' orders. In versions up to 0.3.7 the response additionally returns the affected order's billing details, disclosing customer names, addresses, email addresses and phone numbers to the same unauthenticated caller.

Referencias

• wpscan.com/vulnerability/76da1b69-aa79-4e9e-a97a-bbaefdeb65fe/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION

Historial de la alerta

1. 21 OCT · 04:43VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.