یک آسیب‌پذیری امنیتی در افزونه Payment Gateway for PayPal مربوط به سیستم WooCommerce در پلتفرم وردپرس شناسایی شده است که می‌تواند منجر به دور زدن فرآیند پرداخت شود.
جزئیات فنی آسیب‌پذیری
در نسخه‌های پیش از 9.2.1، این افزونه در هنگام دریافت اعلان‌های پرداخت (Payment Notifications)، صحت محیط پرداخت پیکربندی شده در فروشگاه یا تعلق تراکنش به حساب تجاری (Merchant Account) مربوط به فروشنده را مورد بررسی قرار نمی‌دهد. این نقص باعث می‌شود تا سفارش‌ها بدون پرداخت واقعی، در وضعیت «تکمیل شده» (Complete) قرار گیرند.
تاثیر و سناریوی حمله
مهاجمان می‌توانند با استفاده از یک تراکنش واقعی اما در محیط Sandbox (محیط تست) که تحت کنترل خود دارند، سفارشات خود را به عنوان «پرداخت شده» علامت‌گذاری کنند. نکته حائز اهمیت این است که این حمله توسط کاربران احراز هویت نشده (Unauthenticated Users) قابل اجرا است و نیازی به دسترسی مدیریتی ندارد.
راهکار رفع مشکل
به تمامی مدیران وب‌سایت‌های فروشگاهی که از این افزونه استفاده می‌کنند توصیه می‌شود در سریع‌ترین زمان ممکن، افزونه مذکور را به نسخه 9.2.1 یا نسخه‌های جدیدتر به‌روزرسانی کنند تا این حفره امنیتی مسدود شود.
