PT-2026-68401
CVE-2026-16734
·
تاريخ النشر
2026-07-30
·
تاريخ التحديث
2026-08-06
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Stripe Payment Forms by WP Full Pay، الإصدارات الأقدم من 8.5.2
الوصف
توجد مشكلة تتمثل في فشل المكون الإضافي في التحقق مما إذا كان المتصل يمتلك نية الدفع Stripe المشار إليها بواسطة إجراءين AJAX لنموذج الدفع غير المصادق عليهما. وهذا يسمح لزائر غير مصادق عليه، باستخدام رقم عشوائي مدمج في الصفحات العامة التي تحتوي على نماذج الدفع، بالتلاعب بمبلغ نية الدفع. ثم يقوم المكون الإضافي بتحديث هذا المبلغ من جانب الخادم عبر واجهة برمجة تطبيقات Stripe باستخدام المفتاح السري للمتجر. وعلى وجه التحديد، تظل إجراءات
pricing-recalculation وpayment-intent-update غير محمية ضد هذا التلاعب بالمبلغ.التوصيات
قم بتحديث Stripe Payment Forms by WP Full Pay إلى الإصدار 8.5.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾