→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-110042 · payment-forms-for-paystack
افشای کلیدهای محرمانه API به‌دلیل نقص کنترل دسترسی در افزونه Payment Forms for Paystack
افزونه Payment Forms for Paystack در نسخه‌های ۴.۰.۶ و پایین‌تر، دسترسی به صفحه‌ای را که پیکربندی ذخیره‌شده را نشان می‌دهد به‌درستی محدود نمی‌کند. در نتیجه کاربری با نقش Contributor یا بالاتر می‌تواند کلیدهای محرمانه API درگاه پرداخت، شامل کلیدهای مخفی محیط واقعی و آزمایشی، را ببیند و از این طریق به حساب پرداخت مالک سایت دسترسی کامل پیدا کند. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار اصلاحیه، افزونه را موقتاً غیرفعال کنید یا با فایروال وب دسترسی به صفحه پیکربندی را محدود نمایید.
نسخه‌های تحت تأثیر
<= 4.0.6
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته payment-forms-for-paystack را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.