Fuente base de datos: Wordfence Intelligence

Payment Gateway for Redsys & WooCommerce Lite <= 7.0.0 - Improper Verification of Cryptographic Signature to Unauthenticated Payment Status Manipulation en WOO Redsys Gateway Light - version 7.0.1

PLUGIN HIGH CVE-2026-5050

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Payment Gateway for Redsys & WooCommerce Lite, que permite la manipulación del estado de pagos no autenticados. Esta falla, catalogada como RCE, tiene un impacto significativo en la seguridad operativa de las tiendas online que utilizan versiones afectadas.

Contexto técnico

El fallo radica en una verificación inadecuada de la firma criptográfica, lo que permite a un atacante no autenticado manipular el estado de los pagos. La superficie de ataque se presenta en la interacción con el sistema de pagos, donde las solicitudes maliciosas pueden ser enviadas sin la debida validación.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en pérdidas económicas significativas y comprometer la integridad de las transacciones. Las tiendas online afectadas pueden enfrentar problemas de confianza por parte de los clientes, así como posibles sanciones por incumplimiento de normativas de seguridad.

Vector de explotación

Los atacantes pueden enviar solicitudes manipuladas al sistema de pagos, alterando el estado de las transacciones sin autenticación previa.

Mitigación recomendada

Actualizar el plugin a la versión 7.0.1 o superior para mitigar la vulnerabilidad. Revisar y reforzar la configuración de seguridad del sitio web, especialmente en lo relacionado con la gestión de pagos. Monitorear las transacciones y logs del sistema para detectar actividades sospechosas.

Señales de detección

Revisar los logs de transacciones para identificar patrones inusuales en los estados de pago, así como configuraciones de seguridad que no estén alineadas con las mejores prácticas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 7.0.1 del plugin Payment Gateway for Redsys & WooCommerce Lite. No se han confirmado otros escenarios de explotación fuera de este contexto.

Vulnerabilidades relacionadas

HIGH PLUGIN

ultimate-addons-for-gutenberg

Spectra Gutenberg Blocks <= 2.19.25 - Authenticated (Contributor+) Remote Code Execution via Arbitrary PHP Function Call via Block Attributes

HIGH PLUGIN

sb-woocommerce-infinite-scrol

WooCommerce Infinite Scroll and Ajax Pagination <= 1.8 - Authenticated (Subscriber+) PHP Object Injection

MEDIUM PLUGIN

woocommerce-currency-switcher

FOX – Currency Switcher Professional for WooCommerce <= 1.4.6 - Authenticated (Subscriber+) Authorization Bypass via User-Controlled Key to 'wooc_order_user_roles' Parameter

HIGH PLUGIN

crawlomatic-multipage-scraper-post-generator

Crawlomatic Multipage Scraper Post Generator <= 2.7.2 - Authenticated (Author+) Remote Code Execution via 'callback_raw' Shortcode Attribute

CRITICAL PLUGIN

otp-login

Login with OTP <= 1.6 - Unauthenticated Authentication Bypass via OTP Brute Force

HIGH PLUGIN

affiliate-toolkit-starter

affiliate-toolkit <= 3.8.5 - Authenticated (Editor+) Remote Code Execution

HIGH PLUGIN

insert-headers-and-footers

WPCode <= 2.3.5 - Authenticated (Author+) Remote Code Execution via CPT Capability Bypass via XML-RPC wp.newPost

LOW PLUGIN

b2bking-wholesale-for-woocommerce

B2BKing — Ultimate WooCommerce B2B and Wholesale Plugin — Wholesale Prices, Bulk Order Form & More < 5.2.10 - Missing Authorization

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto