Signal is active with 5 mentions in latest observed window
Recommended action window: Monitor and triage in normal cycle
NVD description
The payever – WooCommerce Gateway plugin for WordPress is vulnerable to arbitrary file upload leading to remote code execution in various versions up to, and including, 4.8.0. Three WooCommerce-API callbacks (payever_set_sandbox_api_keys, payever_toggle_subscription, payever_synchronization_incoming) are registered with no authentication, capability check, or nonce, and the upload_image() routine writes a remotely fetched file to the public uploads directory using an attacker-controlled basename() BEFORE validating the file type. This makes it possible for unauthenticated attackers to write an executable PHP file and achieve remote code execution. NOTE: the token-recovery leg of the full chain depends on the plugin's outbound validateToken() call to Payever's service; the unauthenticated hard-coded-credential identity overwrite (CWE-862/CWE-798) is independently exploitable.
Priority
LOW
Exploitation
NONE
PoC
NONE
Patch
NONE
Momentum
NONE
🆕 New CVE payever Checkout: code execution via unauthenticated upload in image handler (CVE-2026-93754) An unauthenticated attacker can upload a PHP script to a public folder and run commands on the site's server. No patch listed yet https://cve.now/CVE-2026-93754?utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=critical
🔒 #CyberSecurity CVE-2026-93754: payever WooCommerce Gateway Unauthenticated Arbitrary File Uplo… "NVD has published CVE-2026-93754, a CVSS 9.8 CRITICAL, network-exploitable vulnerability…" 🔗 https://securityarsenal.com/blog/cve-2026-93754-payever-woocommerce-gateway-unauthenticated-arbitrary-file-upload-wordpress-detection-and-remediation-guide #CyberSecurity #ThreatIntel #cve202693754 #critical #cve
【11/7 夕方】CVE・脆弱性ニュースまとめ ■国内 新たに対象となるものはありませんでした ■海外 ① IBM「IBM API Connect」：CVSS 9.9を含む多数の脆弱性を修正、12.1.1.3へ更新を（CVE-2026-17360ほか、CVSS v3.1 9.9） IBMが11月7日にAPI Connectの多数の脆弱性をまとめたセキュリティ情報を公表しました。昼以降に確認できた公表分だけでも208件にのぼり、うちCVSS 9.0以上が47件、9.9が20件です。ハードコードされた認証情報で管理者権限を奪われる問題（CVE-2026-17360、CVSS 9.8）や、パストラバーサルで任意のコードを実行される問題（CVE-2026-17239、CVSS 9.9）、認証なしでテナントを作成・変更・削除される問題（CVE-2026-17362、CVSS 9.8）などが含まれます。対象は12.1.0.0から12.1.1.2までで、修正版は12.1.1.3です。CVE記録では10.0.8.0から10.0.8.12までも対象とされています。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-17360 出典：IBM https://www.ibm.com/support/pages/node/7295635 ② payever「payever – WooCommerce Gateway」：ログインなしでファイルをアップロードされ、コードを実行されうる脆弱性、4.9.0で修正（CVE-2026-93754、CVSS v3.1 9.8） WooCommerceの決済プラグイン「payever – WooCommerce Gateway」に、ログインしていない攻撃者が任意のファイルをアップロードできる脆弱性が公表されました。認証や権限の確認がないAPIの処理で、ファイルの種類を確認する前に外部から取得したファイルを公開領域へ書き込んでしまうため、PHPファイルを実行させてサイトを乗っ取られるおそれがあります。対象は4.8.0までで、修正版は4.9.0です。現時点で実際の悪用の報告は確認できていませんが、決済に使っているサイトは更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-93754 出典：Wordfence https://www.wordfence.com/threat-intel/vulnerabilities/id/03412063-d73a-4c5c-8dc6-3e76a5d975a5 ③ Printcart「Printcart Store – Web to Print Product Designer for WooCommerce」：ログインなしでファイルをアップロードされ、コードを実行されうる脆弱性、2.13.3で修正（CVE-2026-19803、CVSS v3.1 9.8） WooCommerceの商品カスタマイズ用プラグイン「Printcart Store」に、ログインしていない攻撃者が任意のファイルをアップロードできる脆弱性が公表されました。デザインの切り抜き処理で、利用者が指定したURLを正規化せずにパスへ組み込んでしまうため、公開領域の外にPHPファイルを書き込まれ、実行されるおそれがあります。対象は2.13.2までで、修正版は2.13.3です。ただし、高度なアップロード画面の設定を有効にしている場合に限ります。現時点で実際の悪用の報告は確認できていませんが、該当する設定のサイトは更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-19803 出典：Wordfence https://www.wordfence.com/threat-intel/vulnerabilities/id/2525ed97-b701-4f95-8d8c-202e816723c5 ④ IBM「IBM Aspera Faspex」：認可をすり抜けて管理者権限を奪われうる脆弱性、5.0.19 PL1で修正（CVE-2026-123218、CVSS v3.1 9.8） ファイル転送サービス「IBM Aspera Faspex」に、認可をすり抜けて管理者権限を奪われる脆弱性が11月7日に公表されました。認証済みの利用者が細工したメッセージを送ることで、利用者の認可を回避して管理者権限を得られてしまうおそれがあります。対象は5.0.0から5.0.19までで、修正版は5.0.19 PL1です。回避策はなく、IBMは速やかな更新を求めています。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123218 出典：IBM https://www.ibm.com/support/pages/node/7295921 ■注意点 ・IBM API ConnectはCVSS 9.0以上の脆弱性を47件含む大規模な一括公表です。12.1.1.3への更新を行ってください。 ・payeverとPrintcartは、ログインなしでコードを実行されうる重大な問題です。WooCommerceで使っている場合は、修正版への更新を急いでください。 ・IBM Aspera Faspexは管理者権限を奪われうる問題で、回避策はありません。5.0.19 PL1への更新を行ってください。 #脆弱性 #CVE #サイバーセキュリティ
🆕 New CVE: CVE-2026-93754 (CVSS 9.8, Enclave score 6/10) payever Checkout – Composable Payment Gateway · Arbitrary file write Remote, no login needed. The payever – WooCommerce Gateway plugin for WordPress is vulnerable to arbitrary file upload… https://app.enclave.ai/threat-feed/CVE-2026-93754
🔴 payever Checkout – Composable Payment Gateway: payever – WooCommerce Gateway <= 4.8.0 - Unauthenticated Arbitrary File Upload Leading to Remote Code Execution (CVE-2026-93754) No fix listed yet https://agentprime.io/advisories/CVE-2026-93754/