→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-87837 · wava-payment
عدم احراز هویت در اعلان‌های درگاه پرداخت افزونه wava-payment
افزونه wava-payment وردپرس پیش از نسخه 0.3.10 اصالت اعلان‌های ارسالی از درگاه پرداخت را بررسی نکرده و محدودیتی برای ارسال‌کنندگان آن‌ها اعمال نمی‌کند. این آسیب‌پذیری به مهاجمان احراز هویت‌نشده اجازه می‌دهد تا وضعیت سفارش‌های ووکامرس را تغییر داده، سفارش‌های پرداخت‌نشده را تکمیل کنند و در نسخه‌های تا 0.3.7 اطلاعات حساس صورتحساب مشتریان را افشا نمایند. از آنجا که این آسیب‌پذیری فاقد پچ رسمی است، اکیداً توصیه می‌شود تا زمان انتشار وصله امنیتی، افزونه را غیرفعال کرده یا از قوانین فایروال برای مسدودسازی دسترسی‌های غیرمجاز استفاده کنید.
نسخه‌های تحت تأثیر
<= 0.3.10
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wava-payment را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.