→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-87838 · wava-payment
آسیب‌پذیری عدم احراز هویت در افزونه Wava Payment وردپرس
افزونه Wava Payment در نسخه‌های 0.3.10 و قبل‌تر فاقد اعتبارسنجی‌های امنیتی مناسب مانند بررسی توکن‌های Nonce و مجوزها در یکی از نقاط پایانی REST API خود است. این نقص امنیتی به مهاجمان احراز هویت‌نشده اجازه می‌دهد تا اطلاعات حساب تجاری (Merchant) را بازنویسی کرده، وضعیت درگاه پرداخت را به زور تغییر دهند و روش‌های پرداخت را از صفحه تسویه حساب حذف کنند. از آنجایی که تاکنون وصله رسمی برای این آسیب‌پذیری منتشر نشده است، اکیداً توصیه می‌شود تا زمان ارائه آپدیت، موقتاً این افزونه را غیرفعال کرده یا از قوانین حفاظتی فایروال استفاده کنید.
نسخه‌های تحت تأثیر
<= 0.3.10
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته wava-payment را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.