یک آسیب‌پذیری امنیتی در افزونه MStore API برای سیستم مدیریت محتوای وردپرس (WordPress) شناسایی شده است که به کاربران ثبت‌نام شده اجازه می‌دهد وضعیت سفارشات خود را بدون پرداخت هزینه تغییر دهند.
جزئیات فنی آسیب‌پذیری
در نسخه‌های پیش از 4.22.1، این افزونه محدودیت‌های لازم برای فیلدهایی که توسط مشتری قابل به‌روزرسانی هستند را اعمال نمی‌کند. این نقص امنیتی که تحت شناسه CVE-2026-97219 ثبت شده، به هر کاربر احراز هویت شده‌ای که دارای حساب کاربری (Self-registerable account) باشد اجازه می‌دهد تا وضعیت سفارش‌های پرداخت‌نشده خود را به حالت «پرداخت شده» (Paid) یا «تکمیل شده» (Fulfilled) تغییر دهد.
تحلیل اثرگذاری و سطح دسترسی
این آسیب‌پذیری در دسته Missing Authorization (CWE-862) قرار می‌گیرد. بر اساس بردار CVSS v3.1، این نقص دارای امتیاز 4.3 (Medium) است. ویژگی‌های کلیدی این حمله عبارتند از:
- بردار حمله: شبکه (Network)
- پیچیدگی حمله: پایین (Low)
- سطح دسترسی مورد نیاز: کاربر سطح پایین (PR:L)
- تعامل کاربر: مورد نیاز نیست (UI:N)
تاثیر این حمله محدود به دستکاری وضعیت سفارشات (Integrity: Low) است و منجر به افشای داده‌های حساس یا تصاحب کامل حساب‌های مدیریتی (Account Takeover) نمی‌شود، اما می‌تواند منجر به ضررهای مالی مستقیم برای فروشگاه‌های آنلاین گردد.
توصیه‌های امنیتی
به مدیران وب‌سایت‌هایی که از این افزونه استفاده می‌کنند توصیه می‌شود در سریع‌ترین زمان ممکن، MStore API را به نسخه 4.22.1 یا بالاتر به‌روزرسانی کنند تا از سوءاستفاده‌های احتمالی مربوط به دور زدن فرآیند پرداخت جلوگیری شود.
