یک آسیب‌پذیری امنیتی جدی در افزونه TillKit برای سیستم مدیریت محتوای وردپرس (WordPress) شناسایی شده است که نسخه‌های پیش از 1.0.5 را تحت تاثیر قرار می‌دهد. این نقص امنیتی که با شناسه CVE-2026-91078 ثبت شده، به دلیل استفاده از یک PIN پیش‌فرض و سخت‌افزاری (Hard-coded) در حساب کاربری POS ایجاد شده است.
جزئیات فنی آسیب‌پذیری
در هنگام فعال‌سازی این افزونه، یک حساب کاربری دارای سطح دسترسی بالا (Privileged POS account) ایجاد می‌شود. مشکل اصلی این است که سیستم از کاربر نمی‌خواهد PIN پیش‌فرض و عمومی این حساب را پیش از شروع استفاده تغییر دهد. علاوه بر این، نقطه انتهایی (Endpoint) مربوط به ورود به POS عمومی، تنها بر اساس این PIN احراز هویت می‌کند و هیچ‌گونه بررسی شناسایی یا کنترل سطح دسترسی (Capability check) را انجام نمی‌دهد.
تاثیرات امنیتی و ریسک‌ها
به دلیل این نقص، مهاجمان بدون نیاز به احراز هویت (Unauthenticated attackers) می‌توانند با استفاده از PIN شناخته شده، یک نشست (Session) دارای دسترسی بالا در POS ایجاد کنند. این موضوع منجر به پیامدهای زیر می‌شود:
- دسترسی به داده‌های حساس: امکان خواندن اطلاعات شخصی مشتریان و کاربران سایت.
- تغییر داده‌های فروشگاه: قابلیت دسترسی و اصلاح داده‌های مربوط به فروشگاه و تراکنش‌ها.
به کاربران توصیه می‌شود در سریع‌ترین زمان ممکن این افزونه را به آخرین نسخه به‌روزرسانی کنند تا از بروز نشت داده‌ها جلوگیری شود.
