PT-2026-37341 · WordPress · Mercado Pago Payments For Woocommerce

Muhammad Sharief · Publicado 2026-05-06 · Atualizado 2026-05-06 · CVE-2026-3208

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Mercado Pago payments for WooCommerce versões anteriores a 8.7.12

Descrição O plugin Mercado Pago payments for WooCommerce para WordPress permite o acesso não autorizado a dados devido à ausência de uma verificação de capacidade no endpoint de API 'mp pix image'. Isso permite que atacantes não autenticados recuperem imagens de códigos QR de pagamento PIX de pedidos arbitrários. Essas imagens contêm informações confidenciais do comerciante, incluindo chaves PIX (que podem ser identificadores pessoais CPF/CNPJ), valores de transação, nome e cidade do comerciante e referências de transação do MercadoPago.

Recomendações Atualize o plugin para uma versão posterior à 8.7.11. Como medida paliativa temporária, restrinja o acesso ao endpoint de API 'mp pix image' para minimizar o risco de exploração.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-3208

Produtos afetados

Mercado Pago Payments For Woocommerce

Referências · 11

• https://twitter.com/VulmonFeeds/status/2051931065732747624 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/woocommerce-mercadopago/tags/8.7.10/src/Gateways/PixGateway.php#L358 · Nota
• https://plugins.trac.wordpress.org/browser/woocommerce-mercadopago/tags/8.7.10/src/Gateways/PixGateway.php#L92 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-3208 · Nota de Segurança
• https://twitter.com/CVEnew/status/2051928703572304019 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2051930103668490250 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset?old_path=%2Fwoocommerce-mercadopago/tags/8.7.11&new_path=%2Fwoocommerce-mercadopago/tags/8.7.12 · Nota
• https://t.me/cveNotify/162319 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/986e0252-b94d-4ac8-9083-0218fa8a651e?source=cve · Nota
• https://t.me/CVEtracker/52814 · Publicação no Telegram
• https://t.me/cveNotify/162284 · Publicação no Telegram