CVE-2026-103324

Cardinity Payment Gateway pour WooCommerce (versions antérieures à 3.4.2) est une extension WordPress utilisée pour traiter les paiements des clients. La faille existe car l'extension utilise un secret par défaut vide pour vérifier l'authenticité des notifications de paiement. Cela permet à un attaquant d'envoyer de fausses notifications que le système accepte comme légitimes.

Un attaquant peut forger des notifications de « paiement approuvé » pour marquer des commandes impayées comme payées ou forcer des commandes dans un état d'échec, compromettant ainsi l'intégrité de vos données de commande. Cela ne nécessite qu'un accès réseau basique, sans authentification ni interaction de l'utilisateur. Comme l'attaque n'est pas authentifiée et est facile à exécuter, la mise à jour de l'extension constitue la défense principale.