→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-103306 · online-payments-with-ik-pay-gateway
جعل اعلان بازگشت درگاه پرداخت در افزونه Online Payments with iK Pay Gateway
افزونه Online Payments with iK Pay Gateway در نسخه‌های آسیب‌پذیر (تا ۳.۰.۴) در نصب پیش‌فرض، اصالت درخواست بازگشت (callback) درگاه پرداخت را به‌درستی بررسی نمی‌کند. مهاجم بدون احراز هویت می‌تواند اعلان پرداخت موفق را جعل کند و سفارش‌های دلخواه را بدون انجام هیچ پرداختی به‌عنوان پرداخت‌شده علامت بزند، یا سفارش‌های پردازش‌نشده را به‌اشتباه ناموفق کند. تاکنون وصله رسمی منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا با فایروال وب دسترسی به نقطه بازگشت درگاه را محدود نمایید.
نسخه‌های تحت تأثیر
<= 3.0.4
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته online-payments-with-ik-pay-gateway را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.