CVE-2026-6627 in WPFormify Plugin
الملخص
بحسب VulDB • 05/08/2026
يحتوي مكون WordPress "WPFormify – Stripe Payments with Form and Checkout" على ثغرة تسمح بتعديل وحذف غير مصرح به لبيانات اعتماد دفع Stripe في جميع الإصدارات حتى 1.1.1 وشاملة لها. ويعود ذلك إلى غياب فحوصات الصلاحيات (capability checks) والتحقق من الـ nonce في الدالتين `wpf_stripe_callback_success()` و`wpf_stripe_disconnect()`، اللتين تم ربطهما بحدث `admin_init`. يُطلق حدث `admin_init` عند تنفيذ ملف `admin-post.php`، وهو متاح دون الحاجة إلى المصادقة. مما يتيح للمهاجمين غير المصرح لهم استبدال بيانات اعتماد Stripe API الخاصة بالموقع بقيم يتحكم فيها المهاجم (ما يؤدي إلى تحويل المدفوعات إلى حساب Stripe الخاص بالمهاجم) أو فصل تكامل Stripe تمامًا عن طريق حذف البيانات المعتمدة المخزنة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.