یک آسیب‌پذیری امنیتی در افزونه Paymob for WooCommerce برای سیستم مدیریت محتوای وردپرس (WordPress) شناسایی شده است که به مهاجمان اجازه می‌دهد بدون پرداخت وجه، وضعیت سفارشات را به «پرداخت شده» تغییر دهند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-87978 ثبت شده است، مربوط به عدم بررسی امضای دیجیتال (Signature Check) در یکی از شاخه‌های مربوط به Webhook پرداخت است. در نسخه‌های پیش از 4.1.14، این افزونه در پردازش درخواست‌های ارسالی به Webhook، احراز هویت و صحت داده‌ها را در یک مسیر خاص نادیده می‌گیرد.
تاثیرات و سناریوی حمله
- نوع حمله: مهاجمان می‌توانند به صورت Unauthenticated (بدون نیاز به حساب کاربری) درخواست‌های جعلی ارسال کنند.
- پیامد: تغییر وضعیت سفارشات دلخواه در WooCommerce به حالت «پرداخت شده» (Paid) بدون تراکنش مالی واقعی.
- شرایط بهره‌برداری: تنها شرط لازم این است که فروشگاه از نسخه آسیب‌پذیر استفاده کند و نقطه اتصال (Endpoint) مربوط به Webhook در شبکه قابل دسترس باشد.
تحلیل امنیتی
این مورد تحت دسته‌بندی CWE-345 (عدم تایید کافی اصالت داده‌ها) قرار می‌گیرد. اگرچه این آسیب‌پذیری تاثیری بر محرمانگی (Confidentiality) یا در دسترس بودن (Availability) سیستم ندارد، اما تاثیر مستقیم بر یکپارچگی (Integrity) داده‌های مالی فروشگاه گذاشته و منجر به ضرر مالی برای فروشنده می‌شود.
