یک آسیب‌پذیری امنیتی جدید با شناسه CVE-2026-93511 در افزونه Premium Packages برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی در نسخه‌های پیش از 7.2.1 وجود دارد و به دلیل عدم اعتبارسنجی صحیح امضای Webhookهای ارسالی از سوی PayPal رخ می‌دهد.
جزئیات فنی آسیب‌پذیری
در حالت عادی، زمانی که PayPal یک اعلان (Notification) مربوط به پرداخت یا تمدید اشتراک را برای وب‌سایت ارسال می‌کند، باید یک امضای دیجیتال برای تایید اصالت پیام ارسال شود. با این حال، این افزونه پیش از پردازش اعلان‌های مربوط به پرداخت و اشتراک، صحت این امضا را بررسی نمی‌کند.
تاثیرات و مخاطرات
- جعل تاییدیه پرداخت: مهاجمان بدون نیاز به احراز هویت (Unauthenticated)، می‌توانند با ارسال درخواست‌های جعلی، سیستم را متقاعد کنند که پرداخت یک سفارش خاص با موفقیت انجام شده است.
- دستکاری اشتراک‌ها: مهاجم می‌تواند رویدادهای لغو اشتراک (Subscription-cancellation) را برای هر سفارش جعل کند، به شرطی که شناسه تراکنش (Transaction ID) مربوطه را در اختیار داشته باشد.
- دسترسی غیرمجاز: این نقص منجر به فعال شدن خدمات پولی برای کاربرانی می‌شود که هزینه‌ای پرداخت نکرده‌اند.
راهکار مقابله
به تمامی مدیران وب‌سایت‌هایی که از این افزونه استفاده می‌کنند توصیه می‌شود در سریع‌ترین زمان ممکن، آن را به نسخه 7.2.1 یا بالاتر به‌روزرسانی کنند تا این حفره امنیتی بسته شود.
