PT-2026-68033
CVE-2026-6627
·
تاريخ النشر
2026-08-04
·
تاريخ التحديث
2026-08-05
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
WPFormify – إصدارات Stripe Payments with Form و Checkout الأقدم من 1.1.2
الوصف
يمكن للمهاجمين غير المصادق عليهم تعديل أو حذف بيانات اعتماد الدفع عبر Stripe. يحدث هذا لأن الدالتين
wpf stripe callback success() وwpf stripe disconnect()، المرتبطتين بـadmin init في نقطة النهاية admin-post.php، تفتقران إلى فحوصات الصلاحيات والتحقق من الرمز العشوائي (nonce). الرقم العشوائي (nonce) هو رمز فريد يُستخدم لمنع هجمات إعادة التشغيل (replay attacks) من خلال التأكد من أن الطلب مقصود وصحيح. تسمح هذه الثغرة للمهاجم بالكتابة فوق بيانات اعتماد واجهة برمجة تطبيقات Stripe لإعادة توجيه المدفوعات إلى حسابه الخاص أو فصل تكامل Stripe تمامًا.التوصيات
قم بتحديث WPFormify – Stripe Payments مع Form و Checkout إلى الإصدار 1.1.2 أو أحدث.
كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية
admin-post.php أو قم بتعطيل الدالتين wpf stripe callback success() وwpf stripe disconnect() حتى يتم تطبيق التحديث. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾