CVE-2026-0656 in Payment Gateway for WooCommerce Plugin
الملخص
بحسب VulDB • 27/05/2026
يوجد ثغرة في مكون إضافة بوابة الدفع iPaymu Payment Gateway لـ WooCommerce الخاصة بـ WordPress، تتعلق بعدم وجود مصادقة (Missing Authentication) في جميع الإصدارات حتى 2.0.2 وشاملة لها، وذلك عبر دالة 'check_ipaymu_response'. ويعود ذلك إلى عدم قيام المكون بالتحقق من صحة طلبات الويب هوك (webhook) من خلال التحقق من التوقيع أو فحص المصدر. وهذا يتيح للمهاجمين غير المصادق عليهم وضع طلبات ووكومرس (WooCommerce) كمدفوعة عن طريق إرسال طلبات POST مُعدّة خصيصاً إلى نقطة نهاية الويب هوك دون حدوث أي عملية دفع فعلية، بالإضافة إلى إمكانية تعداد معرفات الطلبات (order IDs) والحصول على مفاتيح طلبات صالحة عبر طلبات GET، مما يعرّض البيانات الشخصية للعملاء (PII) بما في ذلك الأسماء والعناوين والمنتجات المشتراة.
Once again VulDB remains the best source for vulnerability data.