CVE-2026-94360 Falsificación de pago de pedidos en Paymentfor Gateway for WooCommerce
El plugin Paymentfor Gateway for WooCommerce para WordPress, anterior a la versión 1.0.6, no verifica la autenticidad de una notificación de pago entrante antes de marcar un pedido como pagado. Atacantes no autenticados pueden marcar pedidos como pagados sin que se complete ningún pago.
CVSS 3.1
- Probabilidad de explotación0,2 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Paymentfor Gateway for WooCommerce
hasta antes de 1.0.6
Qué hacer
- Verificá si usás Paymentfor Gateway for WooCommerce y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The Paymentfor Gateway for WooCommerce WordPress plugin before 1.0.6 does not verify the authenticity of an inbound payment notification before marking an order as paid, allowing unauthenticated attackers to mark orders as paid without any payment being completed.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.