→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-94261 · sifalo-pay
نقص کنترل دسترسی در تأیید پرداخت افزونه Sifalo Pay (Broken Access Control)
افزونه وردپرس Sifalo Pay در نسخه‌های ۲.۵.۳ و پایین‌تر، هنگام تأیید پرداخت بررسی نمی‌کند که شناسه تراکنش واقعاً متعلق به همان سفارش باشد یا درخواست‌دهنده مالک آن سفارش باشد. مهاجمی بدون احراز هویت که تنها یک شناسه تراکنش معتبر از پرداخت خودش در اختیار دارد، می‌تواند سفارش‌های در انتظار دیگران را به‌دلخواه به‌عنوان پرداخت‌شده علامت بزند و یکپارچگی مالی و وضعیت سفارش‌های فروشگاه را به خطر بیندازد. وصله رسمی تاکنون منتشر نشده است؛ تا زمان انتشار پچ، افزونه را موقتاً غیرفعال کنید یا با فایروال وب دسترسی به فرایند تأیید پرداخت را محدود نمایید.
نسخه‌های تحت تأثیر
<= 2.5.3
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته sifalo-pay را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.