PT-2026-33017 · Wpmet+1 · Metform Pro
CVSS v3.1
5.3
متوسطة
| المتجه | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات MetForm Pro الأقدم من 3.9.8
الوصف
يؤدي عدم صحة عملية التحقق من صحة المدخلات في عمليات دمج الدفع لـ Stripe و PayPal إلى السماح لمهاجمين غير معتمدين بالتلاعب بمبلغ الدفع. ويحدث ذلك لأن النظام يثق في قيمة حقل الحساب التي يقدمها المستخدم دون إعادة حسابها أو التحقق من صحتها مقارنةً بسعر النموذج المُعد مسبقًا. يمكن استغلال هذه الثغرة عبر حقل
mf-calculation في طلب REST لإرسال النموذج عندما يتم تكوين النموذج بهذه الإعدادات المحددة.التوصيات
قم بتحديث MetForm Pro إلى الإصدار 3.9.8 أو أحدث.
كإجراء تخفيفي مؤقت، تجنب استخدام حقل
mf-calculation في النماذج المدمجة مع Stripe أو PayPal حتى يتم تطبيق التحديث.إصلاح
DoS
RCE
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Metform Pro