PT-2026-50849
CVE-2026-3640
·
تاريخ النشر
2026-06-18
·
تاريخ التحديث
2026-06-22
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
STRABL – مكون إضافي لحلول الدفع في WordPress للإصدارات الأقدم من 4.6
الوصف
يحتوي المكون الإضافي على ثغرة في المصادقة في نقطة نهاية webhook لواجهة برمجة التطبيقات REST ”/wp-json/strabl/webhook/order“. تستخدم نقطة النهاية متغير
permission callback مضبوطًا على return true، مما يسمح لجميع الطلبات بتجاوز عمليات فحص المصادقة والتفويض. ونظرًا لعدم وجود سر مشترك أو التحقق من التوقيع أو التحقق HMAC أو المصادقة القائمة على الرموز المميزة، يمكن للمستخدمين غير المصادق عليهم تنفيذ العديد من الإجراءات غير المصرح بها. وتشمل هذه الإجراءات إنشاء طلبات WooCommerce احتيالية ووضع علامة ”مكتملة“ عليها عن طريق تعيين المتغير paymentStatus إلى paid، والتلاعب بحالات الطلبات عبر المتغير externalOrderId، وإنشاء حسابات مستخدمين جديدة في WordPress بدور ”العميل“، وإصدار عمليات استرداد الأموال، وإلغاء الطلبات، وتطبيق رسوم استرداد المدفوعات.التوصيات
قم بتحديث المكون الإضافي إلى إصدار أحدث من 4.5.
كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية ”/wp-json/strabl/webhook/order“ لتقليل مخاطر الاستغلال إلى أدنى حد.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾