9.3
Critique
CVE-2026-100144 IVPAY payments <= 1.0.8 - Unauthenticated SQLi via 'payment_id' Parameter
Description
The IVPAY payments WordPress plugin through 1.0.8 does not sanitise a value from its payment callback before using it in a SQL statement, and treats an empty API key, which is its own default, as valid authentication, allowing unauthenticated attackers to read arbitrary data from the database.
Détail CVSS 3.1
Vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:L/A:NExploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.
- Vecteur d’attaque
- Réseau
- Complexité
- Faible
- Privilèges requis
- Aucun
- Interaction
- Aucune
- Portée
- Modifiée
- Confidentialité
- Élevé
- Intégrité
- Faible
- Disponibilité
- Aucun
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| IVPAY payments 1.0 | 1.0.0 → 1.0.8 | Pas de correctif indiqué |