→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-103327 · cryptocloud
عدم احراز اصالت اعلان پرداخت در افزونه CryptoCloud وردپرس
افزونه CryptoCloud در نسخه‌های ۳.۰.۰ تا ۳.۰.۱ اصالت اعلان‌های پرداخت دریافتی در callback درگاه را بررسی نمی‌کند؛ چون وقتی رمز وب‌هوک روی مقدار پیش‌فرض خالی باشد، کنترل یکپارچگی انجام نمی‌شود. مهاجم بدون احراز هویت می‌تواند سفارش‌های دلخواه را بدون پرداخت واقعی به‌عنوان پرداخت‌شده یا ناموفق علامت بزند و وضعیت مالی فروشگاه را دستکاری کند. پچ رسمی هنوز منتشر نشده است؛ تا زمان انتشار وصله، افزونه را موقتاً غیرفعال کنید یا دسترسی به callback را با فایروال وب محدود کنید.
نسخه‌های تحت تأثیر
<= 3.0.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته cryptocloud را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.