افزونه درگاه پرداخت OPay برای WooCommerce در پلتفرم WordPress (نسخه‌های تا 2.5.5) دارای یک نقص امنیتی جدی در فرآیند تایید هویت اعلان‌های پرداخت است. این آسیب‌پذیری به دلیل عدم اعتبارسنجی صحیح اعلان‌ها از سوی سرویس‌دهنده پرداخت رخ می‌دهد.
مشکل اصلی از آنجا ناشی می‌شود که کلید امنیتی (Secret Key) مورد استفاده برای تایید امضای دیجیتال (Signature Validation)، به صورت پیش‌فرض خالی است. این نقص امنیتی به مهاجمان بدون نیاز به احراز هویت (Unauthenticated Attackers) اجازه می‌دهد تا اعلان‌های پرداخت جعلی ارسال کرده و وضعیت سفارش‌ها را به صورت دلخواه به حالت‌های Paid (پرداخت شده)، Cancelled (لغو شده) یا Failed (ناموفق) تغییر دهند.
این نقص می‌تواند منجر به سوءاستفاده‌های مالی و دستکاری در فرآیند فروشگاه‌های آنلاین شود. توصیه می‌شود مدیران سیستم‌ها بلافاصله نسخه افزونه خود را بررسی و اقدامات لازم را انجام دهند.
