در افزونه Tickera (سیستم فروش بلیط برای وردپرس)، یک آسیب‌پذیری از نوع Payment Verification Bypass شناسایی شده است که در نسخه‌های قبل از 3.6.0.4 وجود دارد. این نقص امنیتی به مهاجمان اجازه می‌دهد تا بدون نیاز به احراز هویت یا تعامل کاربر، اعلان‌های پرداخت جعلی ارسال کرده و سفارشات دلخواه را به عنوان «پرداخت شده» علامت‌گذاری کنند.
جزئیات فنی
این مشکل از نقص در مکانیزم بررسی صحت (Integrity Check) اعلان‌های دریافتی از درگاه‌های پرداخت (مانند Webhooks یا IPN) نشأت می‌گیرد. اگرچه افزونه یک امضای دیجیتال (Signature) را تایید می‌کند، اما این امضا شامل شناسه‌ی سفارش (Order ID) یا مبلغ تراکنش نیست. در نتیجه، یک مهاجم می‌تواند با جعل اعلان پرداخت، اطلاعات سفارش را تغییر داده و همچنان از مرحله تایید امضا عبور کند. این نقص با مفاهیمی نظیر CWE-347 (بررسی نادرست امضای رمزنگاری) و CWE-345 (تایید ناکافی اصالت داده‌ها) مطابقت دارد.
تحلیل ریسک و تاثیرات
از نظر فنی، این آسیب‌پذیری با بردار CVSS 3.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N) و امتیاز 5.3 رتبه‌بندی شده است. با این حال، تحلیل‌های تکمیلی نشان می‌دهد که تاثیر آن بر Integrity (یکپارچگی) بسیار بالاتر از رتبه Medium است، زیرا منجر به کلاهبرداری مالی مستقیم و دریافت رایگان بلیط یا خدمات می‌شود.
- دسترسی: از طریق شبکه (Remote)
- سطح دسترسی مورد نیاز: هیچ (Unauthenticated)
- پیچیدگی حمله: پایین (Low)
وجود کد Exploit عمومی در پلتفرم WPScan، ریسک عملیاتی این آسیب‌پذیری را افزایش داده است، هرچند تاکنون گزارش گسترده‌ای از بهره‌برداری فعال در دنیای واقعی (مانند لیست CISA KEV) منتشر نشده است.
راهکارهای مقابله و رفع
به مدیران سیستم و متخصصان امنیت توصیه می‌شود اقدامات زیر را سریعاً اجرا کنند:
- به‌روزرسانی فوری: افزونه Tickera را به نسخه 3.6.0.4 یا نسخه‌های جدیدتر ارتقا دهید.
- مانیتورینگ: در صورت عدم امکان به‌روزرسانی فوری، تغییرات وضعیت سفارشات را به دقت رصد کرده و لاگ‌های پرداخت را برای شناسایی تراکنش‌های غیرعادی بازرسی کنید.
- محدود کردن دسترسی: بررسی کنید که آیا می‌توان دسترسی به Endpointهای اعلان پرداخت را به IPهای مشخص درگاه پرداخت محدود کرد تا احتمال ارسال درخواست‌های جعلی کاهش یابد.
