→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-110292 · payplug-for-woocommerce
نقص کنترل دسترسی و افشای کلید سفارش در افزونه PayPlug for WooCommerce
افزونه PayPlug for WooCommerce (Official) در نسخه‌های ۳.۱.۱ و پایین‌تر بررسی نمی‌کند که درخواست‌دهنده واقعاً مالک سفارش ووکامرس ذکرشده در درخواست پرداخت باشد. در نتیجه مهاجم بدون احراز هویت می‌تواند کلید سفارش مشتری دیگر را افشا کند و سفارش پرداخت‌نشدهٔ مهمان را لغو نماید. وصلهٔ رسمی تاکنون منتشر نشده است؛ تا زمان انتشار اصلاحیه، افزونه را موقتاً غیرفعال کنید یا درخواست‌های مرتبط را با فایروال وب محدود نمایید.
نسخه‌های تحت تأثیر
<= 3.1.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته payplug-for-woocommerce را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.