DUPIN Alertas · PipraPayhttps://alertas.dupin.com.ar/fabricante/piprapay/Alertas de vulnerabilidades de PipraPay.esMon, 09 Nov 2026 16:45:53 +000010Vulnerabilidad: CVE-2026-124624 · Credenciales codificadas en el manejador anti-CSRF pp-token de PipraPayhttps://alertas.dupin.com.ar/cve/CVE-2026-124624/tg:64284Mon, 09 Nov 2026 16:45:53 +0000VulnerabilidadLa función hash_hmac del archivo pp-content/pp-include/pp-adapter.php, en el componente pp-token anti-CSRF Handler de PipraPay 3.0.0, contiene credenciales codificadas. El ataque puede realizarse de forma remota y el exploit ya es público. El proyecto fue notificado pero aún no respondió.Vulnerabilidad: CVE-2026-124623 · Carga irrestricta de archivos en PipraPay mediante system-settings-importhttps://alertas.dupin.com.ar/cve/CVE-2026-124623/tg:64270Mon, 09 Nov 2026 15:05:28 +0000VulnerabilidadLa función system-settings-import de PipraPay 3.0.0, en el componente ZIP Archive Handler, permite una carga irrestricta de archivos. El ataque puede realizarse de forma remota y el exploit ya fue publicado. El proyecto fue notificado pero no respondió.Vulnerabilidad: CVE-2026-124625 · Inyección SQL en la función deleteData del panel de administración de PipraPayhttps://alertas.dupin.com.ar/cve/CVE-2026-124625/tg:64257Mon, 09 Nov 2026 15:05:09 +0000VulnerabilidadLa función deleteData del archivo pp-content/pp-include/pp-functions.php de PipraPay 3.0.0, en el componente Admin Panel, es vulnerable a inyección SQL mediante la manipulación del argumento selected_ids/ItemID. El ataque puede iniciarse de forma remota y el exploit ya fue divulgado públicamente. El proyecto fue notificado pero no respondió.