→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-103311 · coinbase-commerce-payment-gateway-for-woocommerce
جعل اعلان وب‌هوک پرداخت به‌دلیل نبود اعتبارسنجی امضا در افزونه Coinbase Commerce Payment Gateway for WooCommerce
افزونه Coinbase Commerce Payment Gateway for WooCommerce تا نسخه 1.4.1 اصالت اعلان‌های وب‌هوک پرداخت ورودی را بررسی نمی‌کند، زیرا رمز مشترک لازم برای اعتبارسنجی امضای درخواست به‌طور پیش‌فرض خالی است و خالی‌بودن آن نیز رد نمی‌شود. در نتیجه مهاجم احراز هویت‌نشده می‌تواند اعلان جعلی بفرستد و سفارش‌های دلخواه را پرداخت‌شده علامت بزند یا سفارش‌های پرداخت‌شده را لغو کند. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا دسترسی به وب‌هوک را با دیوار آتش وب محدود کنید.
نسخه‌های تحت تأثیر
<= 1.4.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته coinbase-commerce-payment-gateway-for-woocommerce را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.