CVE-2026-9028

Nome do Software Vulnerável e Versões Afetadas CorvusPay WooCommerce Payment Gateway versões anteriores a 2.7.5

Description Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Isso permite que atacantes não autenticados cancelem qualquer pedido do WooCommerce processado através do método de pagamento CorvusPay, fornecendo um número de pedido arbitrário para o endpoint REST /wp-json/corvuspay/cancel/ através do parâmetro order number.

Recommendations Atualize o CorvusPay WooCommerce Payment Gateway para a versão 2.7.5 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint REST /wp-json/corvuspay/cancel/.