→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-103331 · unipay-payment-gateway-for-woocommerce
جعل اعلان پرداخت به‌دلیل راز تجاری خالی پیش‌فرض در افزونه UniPAY Payment Gateway for WooCommerce
افزونه UniPAY Payment Gateway for WooCommerce تا نسخه ۲.۳ اصالت اعلان‌های پرداخت را به‌درستی تأیید نمی‌کند، چون امضای آن‌ها با راز تجاری (merchant secret) سنجیده می‌شود که به‌صورت پیش‌فرض خالی است. مهاجم بدون نیاز به احراز هویت می‌تواند اعلانی معتبر جعل کند و سفارش‌های دلخواه را پرداخت‌شده علامت بزند؛ در نتیجه ممکن است کالا یا خدمات بدون دریافت وجه واقعی تحویل شود. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا با فایروال وب، اعلان‌های پرداخت مشکوک را محدود نمایید.
نسخه‌های تحت تأثیر
<= 2.3
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته unipay-payment-gateway-for-woocommerce را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.