افزونه Payment Gateway برای پلتفرم وردپرس (نسخه‌های تا 2.2.0) دارای یک نقص امنیتی در مدیریت احراز هویت است. این افزونه پیش از استفاده از یک رمز مشترک (shared secret) برای احراز هویت در فرایند فراخوانی بازگشتی (callback) اعلان‌های پرداخت بانک، وجود یا پیکربندی آن را بررسی نمی‌کند.
این آسیب‌پذیری به مهاجمان بدون احراز هویت (unauthenticated attackers) اجازه می‌دهد تا اعلان‌های پرداخت معتبری را جعل (forge) کنند. در نصب‌هایی که رمز مشترک (shared secret) تنظیم نشده باشد، مهاجم می‌تواند هر سفارش WooCommerce را به عنوان “پرداخت شده” (paid) علامت‌گذاری کند. علاوه بر این، از طریق همین مکانیزم callback، مهاجم می‌تواند سفارش‌های معلق را به وضعیت “شکست خورده” (failed) تغییر دهد؛ این مورد حتی در صورت پیکربندی صحیح رمز مشترک نیز امکان‌پذیر است.
