payOS
payOS has one disclosed vulnerability in the WordSec catalog, all reported in 2025; it remains unpatched as of October 2026. Their average CVSS score is 4.3, and the most serious one scores 4.3 out of 10.
The most common weakness is Cross-Site Request Forgery (CSRF), behind 1 of the records (100%).
The one issue recorded for payOS has no published fix yet, which makes virtual patching the only reliable mitigation. The oldest unresolved one dates back to 2025.
All of these findings were reported by Nabil Irawan. payOS is installed on roughly 500 WordPress sites, so each unpatched flaw has a wide blast radius. The current release is tested up to WordPress 7.1.3.
CVE-2025-57946payOS <= 1.0.61 - Cross-Site Request Forgery
Read the full analysisVulnerability Records

woocommercepayOS: tiền về tài khoản, đơn tự xác nhận Mỗi đơn hàng một mã VietQR riêng. Khách quét và chuyển khoản, payOS báo về website ngay khi tiền vào tài khoản: đơn hàng tự chuyển sang “đã thanh toán”, không cần mở app ngân hàng kiểm tra từng giao dịch. payOS là cổng thanh toán miễn phí do Casso phát triển, dùng chính tài khoản ngân hàng của bạn để nhận tiền và xác nhận thanh toán. Không qua trung gian giữ tiền, không phí cổng thanh toán: tiền khách chuyển về thẳng tài khoản ngân hàng của bạn. Vì sao chủ shop chọn payOS Miễn phí – không mất phí cổng thanh toán, tiết kiệm đến 99% chi phí so với cổng thanh toán truyền thống. Đối soát chính xác 100% – mỗi đơn có mã QR riêng với đúng số tiền và nội dung, payOS khớp giao dịch với đơn hàng tự động. Giao hàng sớm hơn – đơn được xác nhận vài giây sau khi tiền về, kể cả ban đêm và cuối tuần. Tiền về thẳng tài khoản – không qua ví trung gian, không chờ đối soát, rút tiền. Đăng ký 5 phút – cá nhân, hộ kinh doanh, doanh nghiệp đều dùng được, chỉ cần CCCD, không cần hợp đồng hay giấy phép kinh doanh. An toàn – dữ liệu webhook được ký bằng Checksum Key, hạ tầng trên Google Cloud, đáp ứng các tiêu chuẩn ISO/IEC, SOC 2. Khách hàng thanh toán thế nào? Khách chọn “Thanh toán VietQR qua cổng payOS” và đặt hàng. Trang đặt hàng thành công hiện ngay trang thanh toán payOS: mã VietQR của đơn hàng, thông tin chuyển khoản có nút sao chép. Trên điện thoại, khách bấm vào logo ngân hàng để mở app với số tài khoản, số tiền, nội dung đã điền sẵn (các app có tag Tự động điền); trên máy tính, khách quét mã QR bằng bất kỳ app ngân hàng hay ví điện tử nào hỗ trợ VietQR. Tiền về tài khoản, payOS báo cho website, đơn hàng tự chuyển trạng thái và trang thanh toán báo “Đơn hàng đã thanh toán thành công”. Tính năng Thanh toán Mã VietQR riêng cho từng đơn hàng, đúng số tiền và nội dung chuyển khoản Trang thanh toán payOS nhúng ngay trong trang đặt hàng thành công, khách không phải rời website Hai cách thanh toán: quét mã QR hoặc chuyển khoản theo thông tin (sao chép từng dòng), tải ảnh QR về máy Trên điện thoại: nút mở app ngân hàng, app có tag “Tự động điền” mở ra với giao dịch đã điền sẵn Hỗ trợ cả checkout cổ điển và WooCommerce Checkout Block Tự động xác nhận Webhook payOS cập nhật trạng thái đơn ngay khi tiền về, chữ ký được kiểm tra trước khi xử lý Khách chuyển thiếu: đơn chuyển sang “Thanh toán thiếu”; khách chuyển bù đủ số tiền, đơn được hoàn tất Khách chuyển dư: đơn vẫn hoàn tất, kèm ghi chú Mỗi giao dịch được ghi vào ghi chú đơn hàng: số tiền, nội dung, mã tham chiếu ngân hàng Tuỳ chọn trạng thái đơn khi thanh toán thành công, thanh toán thiếu, thất bại Tuỳ chọn tự tải lại trang đặt hàng khi thanh toán thành công Cài đặt Kết nối bằng Client ID, API Key, Checksum Key của kênh thanh toán payOS; plugin tự đăng ký webhook Tiền tố nội dung chuyển khoản tuỳ chỉnh (ví dụ DH1024) Hỗ trợ dịch, có sẵn tiếng Việt External services Plugin dùng dịch vụ cổng thanh toán payOS (https://payos.vn) để tạo mã thanh toán và nhận thông báo giao dịch: api-merchant.payos.vn – tạo link thanh toán cho từng đơn hàng, lấy thông tin link thanh toán, đăng ký webhook. Dữ liệu gửi đi: mã đơn hàng, số tiền, nội dung chuyển khoản, tên và email người mua, danh sách sản phẩm (tên, số lượng, giá), địa chỉ trang đặt hàng thành công, địa chỉ webhook; Client ID và API Key để xác thực. pay.payos.vn – trang thanh toán (mã QR, thông tin chuyển khoản) hiển thị trong trang đặt hàng thành công. payOS gửi về webhook của website thông tin giao dịch đã nhận (mã đơn, số tiền, nội dung, số tài khoản, mã tham chiếu). Khi dùng plugin, bạn đồng ý với Thoả thuận sử dụng dịch vụ và Chính sách bảo mật của payOS.
Vulnerability data © Defiant, Inc., provided under the Wordfence Intelligence T&C