→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-88998 · tickera
جعل تأیید پرداخت بدون احراز هویت در افزونه Tickera
افزونه وردپرس Tickera در نسخه‌های 3.6.0.4 و پایین‌تر، یکپارچگی اعلان‌های پرداخت ورودی را به‌درستی بررسی نمی‌کند و امضای اعتبارسنجی‌شده، سفارش یا مبلغ را پوشش نمی‌دهد. مهاجم بدون نیاز به احراز هویت می‌تواند تأیید پرداخت جعلی بسازد و سفارش‌های دلخواه را بدون پرداخت واقعی به‌عنوان پرداخت‌شده علامت بزند؛ این کار می‌تواند به زیان مالی و اختلال در فروش منجر شود. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا دریافت اعلان‌های پرداخت را با فایروال محدود نمایید.
نسخه‌های تحت تأثیر
<= 3.6.0.4
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته tickera را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.