CVE-2026-88998 Evasión de pago de pedidos sin autenticación mediante 2Checkout IPN en Tickera

Qué es CVE-2026-88998

El plugin Tickera de WordPress, anterior a la versión 3.6.0.4, no verifica correctamente la integridad de las notificaciones de pago entrantes y la firma validada no cubre el pedido ni el monto. Esto permite a atacantes no autenticados falsificar una confirmación de pago y marcar pedidos arbitrarios como pagados sin pagar.

Productos y versiones afectadas

• Tickera

  • hasta antes de 3.6.0.4

Qué hacer

1. Verificá si usás Tickera y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The Tickera WordPress plugin before 3.6.0.4 does not correctly verify the integrity of incoming payment notifications, and the validated signature does not cover the order or the amount, allowing unauthenticated attackers to forge a payment confirmation and mark arbitrary orders as paid without paying.

Referencias

• wpscan.com/vulnerability/50fe4955-9193-4842-9ea6-1812d70d813e/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION

Historial de la alerta

1. 14 OCT · 08:50VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.