CVE-2026-92429 Manipulación no autenticada del estado de pedidos vía webhook de débito maxiPago en Rede Itaú for…
El plugin de WordPress Rede Itaú for WooCommerce anterior a 5.5.3 no verifica la autenticidad de un webhook de la pasarela de pago antes de actualizar el estado de un pedido, lo que permite a atacantes no autenticados cambiar el estado de pedidos WooCommerce arbitrarios, como marcar pedidos impagos como pagados o cancelar pedidos completados.
CVSS 3.1
- Probabilidad de explotación0,1 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Rede Itaú for WooCommerce
desde 3.7.1 hasta antes de 5.5.3
Qué hacer
- Verificá si usás Rede Itaú for WooCommerce y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The Rede Itaú for WooCommerce WordPress plugin before 5.5.3 does not verify the authenticity of a payment gateway webhook before updating an order's status, allowing unauthenticated attackers to change the status of arbitrary WooCommerce orders, including marking unpaid orders as paid and cancelling completed orders.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.