→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-103299 · payment-gateway
نقص احراز هویت callback پرداخت و جعل وضعیت سفارش در افزونه Payment Gateway
افزونه Payment Gateway وردپرس تا نسخه ۲.۲.۰ پیش از به‌کارگیری رمز مشترک برای احراز هویت callback اعلان پرداخت بانک، از پیکربندی‌شدن آن اطمینان حاصل نمی‌کند. در نتیجه مهاجمان بدون احراز هویت می‌توانند در نصب‌هایی که این رمز تنظیم نشده، اعلانی معتبر جعل کنند و هر سفارش ووکامرس را پرداخت‌شده علامت بزنند؛ همین callback نیز اجازه می‌دهد هر سفارش در انتظار، چه رمز تنظیم شده باشد و چه نشده باشد، به وضعیت ناموفق منتقل شود. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار اصلاحیه، افزونه را موقتاً غیرفعال کنید یا دسترسی به callback را با فایروال وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 2.2.0
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته payment-gateway را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.