یک آسیب‌پذیری امنیتی با شناسه CVE-2026-90987 در افزونه Easy PayPal & Stripe Buy Now Button برای سیستم مدیریت محتوای وردپرس شناسایی شده است. این نقص امنیتی به مهاجمان اجازه می‌دهد تا قیمت کالاهای قابل خرید را به صورت دلخواه تغییر دهند.
تحلیل فنی آسیب‌پذیری
در نسخه‌های پیش از 2.0.6 این افزونه، مبلغ پرداخت در سمت سرور (Server-side) محاسبه یا اعتبارسنجی نمی‌شود. در واقع، افزونه مبلغ نهایی را مستقیماً از فیلدی که توسط کاربر (Client-supplied field) ارسال شده دریافت می‌کند. این نقص منجر به ایجاد یک Price Manipulation می‌شود که در آن مهاجم می‌تواند با تغییر مقدار فیلد مبلغ در درخواست HTTP، قیمت خرید را به مقدار بسیار کمی کاهش دهد و تراکنش را با قیمتی بسیار پایین‌تر از مبلغ واقعی تکمیل کند.
جزئیات دسترسی و اثرگذاری
- بردار حمله (Attack Vector): شبکه (Network)؛ حمله از راه دور و بدون نیاز به احراز هویت (Unauthenticated) قابل اجراست.
- تعامل کاربر (User Interaction): هیچ نیازی به تعامل کاربر برای بهره‌برداری از این نقص نیست.
- تاثیر (Impact): این آسیب‌پذیری منجر به تخریب یکپارچگی داده‌ها (Integrity) در بخش قیمت‌گذاری می‌شود، اما تاثیری بر محرمانگی (Confidentiality) یا در دسترس بودن (Availability) سیستم ندارد.
وضعیت اصلاحیه
این مشکل در نسخه 2.0.6 برطرف شده است. به تمامی مدیران سایت‌های وردپرسی که از این افزونه برای درگاه‌های پرداخت PayPal یا Stripe استفاده می‌کنند، توصیه می‌شود فوراً افزونه خود را به آخرین نسخه به‌روزرسانی کنند تا از سوءاستفاده‌های احتمالی مالی جلوگیری شود.
