PayHere Payment Gateway : notifications de paiement falsifiables si le secret marchand est absent

Veille sécuritéCMS & e-commerce

P4Moyenne

CVE-2026-103310 concerne PayHere Payment Gateway pour WordPress : lorsque le secret marchand n’est pas configuré, les notifications de paiement ne sont pas authentifiées, ce qui peut permettre de falsifier une confirmation et de marquer une commande comme payée. Les versions 2.4.0 à 2.4.5 sont indiquées comme affectées ; la version corrigée et les mesures de contournement ne sont pas établies par les informations disponibles.

IdentifiantCVE-2026-103310

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-103310

Analyse technique

Le défaut est lié à l’absence de vérification d’authenticité des notifications lorsque le secret marchand est laissé non configuré.

Impact, versions et correctif

Événement datéLa fiche NVD fournie indique une première publication le 2026-11-02 à 08:17:35.927Z, soit pendant la période demandée. Sa mise à jour ultérieure le même jour n’est pas traitée comme un événement distinct.

ImpactUn attaquant non authentifié pourrait falsifier une confirmation de paiement et faire apparaître une commande comme réglée sans paiement.

Versions affectéesPayHere Payment Gateway 2.4.0 à 2.4.5

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.3

Publication2026-11-02T08:17:35.927Z

Mise à jour2026-11-02T22:17:17.343Z

Action recommandée

Vérifier la configuration du secret marchand et consulter l’avis du fournisseur pour appliquer une version corrigée dès qu’elle est identifiée.

Sources

NVD — CVE-2026-103310

Priorisation DFS : P4 · 1 source(s).