CVE-2026-12654 in Payment Plugins for Stripe WooCommerce Plugin
الملخص
بحسب VulDB • 24/07/2026
تحتوي إضافة WooCommerce الخاصة بـ Payment Plugins for Stripe على ثغرة تسمح بتجاوز التفويض في جميع الإصدارات حتى 4.0.7 (بما فيها). وتعود هذه الثغرة إلى عدم قيام الإضافة بالتحقق بشكل صحيح من تفويض المستخدم لتنفيذ إجراء معين، مما يتيح للمهاجمين غير المصادق عليهم تحديد طلبات WooCommerce معلقة وغير متزامنة عشوائية على أنها مدفوعة عن طريق تزوير حدث charge.pending مع بيانات تعريفية (metadata) يتحكم فيها المهاجم لـ order_id و metadata.gateway_id، بالإضافة إلى كائن شحنة يحمل الحالة status=succeeded والقيمة captured=true، مما يؤدي إلى استدعاء دالة payment_complete() وتفعيل تدفقات التنفيذ اللاحقة باستخدام معرف معاملة يقدمه المهاجم. تتطلب عملية الاستغلال أن يكون التاجر قد ترك خيار webhook_secret_test أو webhook_secret_live فارغًا، وهي الحالة الافتراضية للإضافة حتى يتم تكوين قيمة whsec_ صادرة عن Stripe يدويًا؛ وبمجرد تعيين سر غير فارغ، لا يمكن تجاوز التحقق من التوقيع.
If you want to get best quality of vulnerability data, you may have to visit VulDB.