CVE-2026-92427 Falsificación de registros de pago en Coinsnap Bitcoin Crowdfunding por divulgación del secreto del webhook

Qué es CVE-2026-92427

El plugin Coinsnap Bitcoin Crowdfunding para WordPress hasta la versión 1.2.0 no restringe el acceso al secreto usado para autenticar el webhook de su pasarela de pago, divulgándolo a usuarios no autenticados y dejando ineficaz la verificación de firma del webhook. Atacantes no autenticados pueden falsificar notificaciones de confirmación de pago y registrar donaciones arbitrarias como completadas, con montos, nombres de donantes y mensajes elegidos por el atacante.

Productos y versiones afectadas

• Coinsnap Bitcoin Crowdfunding

  • hasta 1.2.0

Qué hacer

1. Verificá si usás Coinsnap Bitcoin Crowdfunding y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The Coinsnap Bitcoin Crowdfunding WordPress plugin through 1.2.0 does not restrict access to the secret used to authenticate its payment gateway webhook, disclosing it to unauthenticated users and rendering the webhook's signature check ineffective. This allows unauthenticated attackers to forge payment-confirmation notifications and record arbitrary donations as completed, with attacker-chosen amounts, donor names and messages.

Referencias

• wpscan.com/vulnerability/a5320c81-5ad9-471d-9c58-726b585b801e/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION

Historial de la alerta

1. 16 OCT · 06:02VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.