→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-103300 · eurobank-woocommerce-payment-gateway
دور زدن تأیید پرداخت بدون احراز هویت در افزونه Eurobank WooCommerce Payment Gateway
افزونه Eurobank WooCommerce Payment Gateway تا نسخه ۲.۱.۱ بررسی نمی‌کند که درخواست تأیید پرداخت واقعاً از ارائه‌دهنده پرداخت ارسال شده باشد و رمز مخفی لازم برای احراز هویت این درخواست به‌صورت پیش‌فرض خالی است. به همین دلیل مهاجم احراز هویت‌نشده می‌تواند هر سفارش در وضعیت انتظار را پرداخت‌شده علامت بزند یا هر سفارشی را بدون هیچ رمزی به وضعیت ناموفق ببرد و یکپارچگی پرداخت‌های فروشگاه را به خطر بیندازد. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا با فایروال وب دسترسی به درخواست‌های تأیید پرداخت را محدود کنید.
نسخه‌های تحت تأثیر
<= 2.1.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته eurobank-woocommerce-payment-gateway را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.