FICHE CVE

CVE-2026-94271

Publiée le 2026-10-06 · Dernière modification le 2026-10-06

🇫🇷 EN BREF

Les sites WordPress utilisant l'extension Deema Payment Gateway (version 1.1.2 et versions antérieures) sont affectés par une faille dans la gestion des retours de paiement. Un attaquant distant non authentifié peut tromper le système pour qu'une commande soit marquée comme payée sans qu'aucun paiement réel n'ait été effectué. Cette action est facile à exécuter car elle ne nécessite aucun privilège particulier ni interaction de l'utilisateur, seulement un accès réseau basique au site.

CVSS 3.15.3 MOYENNE

Type de faiblesse

Authentification incorrecte · CWE-287

Publiée2026-10-06

Dernière modification2026-10-06

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéFaible

Impact sur la disponibilitéAucun

RÉFÉRENCES

contact@wpscan.com

Description officielle du NVD (en anglais)

The Deema Payment Gateway WordPress plugin through 1.1.2 does not verify the payment with the payment provider when handling the return from the hosted checkout, and does not check the payment status or amount, allowing unauthenticated users to have orders marked as paid without any payment being taken.