Resumo: O plugin Payment Gateway for Telcell, antes da versão 2.0.5, não verifica a autenticidade das notificações de pagamento porque o segredo usado para assiná-las vem vazio por padrão. Assim, qualquer pessoa sem login pode forjar uma notificação e marcar pedidos do WooCommerce como pagos, ou marcar pedidos de terceiros como falhos. O plugin atende um gateway regional (Armênia), mas o caso é um bom alerta sobre webhooks de pagamento sem assinatura válida.
Fonte: WPScan (via VulDB)
O que fazer: Se usa o plugin, atualize para a versão 2.0.5 ou superior e configure um segredo de assinatura forte nas opções do gateway. Confira no WooCommerce pedidos marcados como pagos sem a transação correspondente no painel do Telcell. Em qualquer gateway, verifique se o webhook exige assinatura/segredo configurado.