یک آسیب‌پذیری امنیتی در پلاگین پرداخت CryptoCloud برای سیستم مدیریت محتوای وردپرس (WordPress) شناسایی شده است که می‌تواند منجر به کلاهبرداری مالی شود. این نقص امنیتی در نسخه‌های 3.0.0 تا 3.0.1 این پلاگین وجود دارد و به مهاجمان اجازه می‌دهد بدون انجام هرگونه تراکنش ارز دیجیتال، وضعیت سفارش‌ها را به صورت جعلی به حالت “پرداخت شده” (Paid) یا “ناموفق” (Failed) تغییر دهند.
مکانیسم حمله
این آسیب‌پذیری زمانی قابل بهره‌برداری است که مدیر سایت، مقدار پیش‌فرض Webhook Secret را تغییر نداده باشد. در حالت پیش‌فرض که این مقدار خالی است، فرآیند بازگشتی (Callback) درگاه پرداخت، بررسی یکپارچگی (Integrity Check) و اصالت اعلان‌های پرداخت را نادیده می‌گیرد. در نتیجه، یک مهاجم از راه دور و بدون نیاز به احراز هویت (Unauthenticated)، می‌تواند یک درخواست POST جعلی به نقطه پایانی (Endpoint) مربوطه ارسال کند و وضعیت سفارش‌های دلخواه را دستکاری نماید.
بر اساس شاخص‌های CVSS، این آسیب‌پذیری دارای امتیاز 5.3 (Medium) است. بردار حمله (Vector) نشان می‌دهد که هیچ نیازی به تعامل کاربر (User Interaction) یا احراز هویت وجود ندارد (AV:N/AC:L/PR:N/UI:N)، اما تأثیر آن تنها محدود به بخش یکپارچگی (Integrity) است و مستقیماً بر محرمانگی (Confidentiality) یا در دسترس بودن (Availability) سیستم اثر نمی‌گذارد.
راهکارهای مقابله و رفع مشکل
- تنظیم Webhook Secret: حیاتی‌ترین اقدام، تنظیم یک مقدار پیچیده و با آنتروپی بالا برای Webhook Secret در تنظیمات درگاه CryptoCloud است. این کار باعث فعال شدن مجدد بررسی اصالت اعلان‌ها می‌شود.
- بروزرسانی: با توجه به اینکه نسخه اصلاح‌شده در داده‌های فعلی مشخص نیست، توصیه می‌شود مستقیماً از طریق سازنده یا مراجع معتبری مانند WPScan، آخرین نسخه امن را دریافت و نصب کنید.
- غیرفعال‌سازی موقت: در صورتی که امکان تغییر تنظیمات وجود ندارد، پیشنهاد می‌شود درگاه CryptoCloud را برای سفارش‌های جدید غیرفعال کنید تا از سوءاستفاده‌های احتمالی جلوگیری شود.
- حسابرسی سفارش‌ها: مدیران فروشگاه باید تغییرات اخیر در وضعیت سفارش‌ها را بررسی کنند و سفارش‌هایی که به حالت “پرداخت شده” تغییر یافته‌اند اما تراکنش زنجیره بلوکی (On-chain transaction) متناظری ندارند را شناسایی کنند.
