CVE-2026-103301
Publiée le 2026-10-21 · Dernière modification le 2026-10-21
L'extension Payment Gateway for Telcell pour WordPress (versions antérieures à 2.0.5) gère les notifications de paiement pour les boutiques WooCommerce. La faille provient du fait que l'extension utilise un secret par défaut vide pour vérifier l'authenticité des notifications de paiement. Cela permet à n'importe qui d'envoyer une notification falsifiée que le système acceptera comme légitime.
Un attaquant non authentifié disposant d'un accès réseau peut forger ces notifications pour marquer n'importe quelle commande comme « payée » sans avoir réellement réglé les articles. Cela compromet l'intégrité des registres de commandes de la boutique, bien que cela n'expose aucune donnée privée et ne provoque pas le plantage du serveur. Comme aucune permission spéciale ni interaction de l'utilisateur n'est requise, cet exploit est relativement facile à exécuter.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Payment Gateway for Telcell WordPress plugin before 2.0.5 does not verify the authenticity of incoming payment notifications, because the secret used to sign them is empty by default, allowing unauthenticated attackers to forge a valid notification and mark arbitrary WooCommerce orders as paid. The same handler also marks an attacker-chosen order as failed when given an invalid signature.