→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-110285 · wp-stripe-checkout
جعل اعلان تکمیل پرداخت به‌دلیل عدم تأیید امضای وب‌هوک در افزونه WP Stripe Checkout
افزونه WP Stripe Checkout در نسخه‌های ۱.۲.۲.۶۲ و پیش از آن، اگر کلید امضای وب‌هوک Stripe تنظیم نشده باشد (حالت پیش‌فرض)، امضای درخواست وب‌هوک را بررسی نمی‌کند. مهاجم بدون احراز هویت می‌تواند اعلان جعلی تکمیل پرداخت بفرستد و سفارش را بدون پرداخت واقعی در وضعیت تکمیل‌شده ثبت کند. وصله رسمی هنوز منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا با فایروال وب درخواست‌های وب‌هوک را محدود و پایش کنید.
نسخه‌های تحت تأثیر
<= 1.2.2.62
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wp-stripe-checkout را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.