CVE-2026-103311
Publiée le 2026-10-19 · Dernière modification le 2026-10-19
L'extension Coinbase Commerce Payment Gateway pour WooCommerce (versions 1.4.1 et antérieures) gère les notifications de paiement pour les boutiques WordPress. La faille provient du fait que l'extension ne vérifie pas l'authenticité des notifications webhook entrantes lorsque le secret partagé est laissé à sa valeur vide par défaut. Essentiellement, le système accepte les confirmations de paiement sans vérifier si elles proviennent réellement de Coinbase.
Un attaquant peut envoyer des notifications falsifiées via le réseau pour marquer des commandes impayées comme payées ou pour annuler des commandes existantes. Cela compromet l'intégrité des données de vos commandes, permettant potentiellement à quelqu'un d'obtenir des produits sans payer. Aucune authentification ni interaction de l'utilisateur n'est requise pour exécuter cette attaque, ce qui la rend simple à réaliser si le secret n'est pas configuré.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The Coinbase Commerce Payment Gateway for WooCommerce WordPress plugin through 1.4.1 does not verify the authenticity of incoming payment webhook notifications, because the shared secret used to validate the request signature is empty by default and nothing rejects an unconfigured secret, allowing unauthenticated attackers to forge notifications that mark arbitrary orders as paid or cancel already-paid orders.