Vulnerabilidad en plugin Appmax para WordPress (CVE-2026-3641)

El plugin Appmax para WordPress es vulnerable a la Validación de Entrada Inadecuada en todas las versiones hasta la 1.0.3, inclusive. Esto se debe a que el plugin registra un endpoint de webhook de API REST público en /webhook-system sin implementar validación de firma de webhook, verificación de secreto, o cualquier mecanismo para autenticar que las solicitudes de webhook entrantes provengan genuinamente del servicio de pago legítimo de Appmax. El plugin procesa directamente entrada no confiable controlada por el atacante de los parámetros 'event' y 'data' sin verificar la autenticidad del webhook. Esto hace posible que atacantes no autenticados elaboren cargas útiles de webhook maliciosas que pueden modificar el estado de pedidos existentes de WooCommerce (por ejemplo, cambiándolos a en procesamiento, reembolsado, cancelado o pendiente), crear pedidos de WooCommerce completamente nuevos con datos arbitrarios, crear nuevos productos de WooCommerce con nombres/descripciones/precios controlados por el atacante, y escribir valores arbitrarios en los metadatos de publicaciones de pedidos suplantando eventos de webhook legítimos.