CVE-2026-103310

La passerelle de paiement PayHere pour WordPress (versions 2.4.0 à 2.4.5) est utilisée pour traiter les paiements des clients sur les sites de commerce électronique. Le plugin ne parvient pas à vérifier l'authenticité des notifications de paiement si le secret du marchand n'est pas configuré manuellement, ce qui correspond au paramétrage par défaut. Cela crée une faille logique où le système fait confiance aux signaux de paiement entrants sans confirmer qu'ils proviennent réellement de PayHere.

Un attaquant non authentifié disposant d'un accès réseau peut envoyer une notification falsifiée au serveur pour marquer n'importe quelle commande comme payée sans avoir dépensé d'argent. Cela compromet l'intégrité du système de commande, permettant potentiellement à l'attaquant d'obtenir gratuitement des biens ou services numériques. Comme cette action ne nécessite ni connexion ni interaction de l'utilisateur, l'exploitation est relativement facile à exécuter.