CVE-2026-103308
Publiée le 2026-10-14 · Dernière modification le 2026-10-14
Les boutiques WordPress utilisant l'extension Visma Pay (versions antérieures à 1.2.2) sont concernées si les identifiants du marchand n'ont pas été configurés. Un attaquant distant non authentifié peut exploiter cette faille pour marquer n'importe quelle commande comme payée et dérober les noms, adresses e-mail et adresses postales des clients. Comme aucune authentification ni interaction de l'utilisateur n'est requise, cette attaque est facile à exécuter via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Visma Pay for WooCommerce WordPress plugin before 1.2.2 does not verify the authenticity of payment gateway return requests, relying on a merchant secret that is empty on a store which has not entered its credentials, allowing unauthenticated attackers to mark arbitrary orders as paid and to disclose the name, email address and postal address of any order's customer.