CVE-2026-0656

Nome do Software Vulnerável e Versões Afetadas Plugin iPaymu Payment Gateway for WooCommerce para WordPress versões até a 2.0.2 (inclusive)

Descrição O plugin iPaymu Payment Gateway for WooCommerce para WordPress está vulnerável à ausência de autenticação. Isso ocorre porque o plugin não valida a autenticidade das requisições webhook por meio de verificação de assinatura ou verificações de origem. Um atacante não autenticado pode enviar requisições POST forjadas ao endpoint do webhook para marcar falsamente pedidos do WooCommerce como pagos, sem que haja pagamento real. Além disso, os atacantes podem enumerar IDs de pedidos e obter chaves de pedido válidas via requisições GET, potencialmente expondo Informações Pessoalmente Identificáveis (PII) dos clientes, como nomes, endereços e produtos comprados. A função vulnerável é check ipaymu response.

Recomendações Atualize o plugin iPaymu Payment Gateway for WooCommerce para WordPress para uma versão posterior à 2.0.2.