CVE-2026-5050

Name of the Vulnerable Software and Affected Versions Payment Gateway for Redsys & WooCommerce Lite versões anteriores a 7.0.1

Description O plugin está sujeito a uma verificação inadequada de assinaturas criptográficas. Os manipuladores successful request() calculam uma assinatura local, mas não validam a Ds Signature da requisição antes de aceitar o status do pagamento nos fluxos de gateway Redsys, Bizum e Google Pay. Isso permite que atacantes não autenticados que possuam uma chave de pedido e um valor de pedido válidos forjem dados de retorno de pagamento, marcando pedidos pendentes como pagos e potencialmente obtendo produtos ou serviços sem o pagamento.

Recommendations Atualize para uma versão posterior a 7.0.0.