CVE-2026-9027 in CorvusPay WooCommerce Payment Gateway Plugin
الملخص
بحسب VulDB • 10/07/2026
يحتوي مكون إضافة بوابة الدفع CorvusPay لـ WooCommerce الخاص بـ WordPress على ثغرة تسمح بتجاوز عملية الدفع عبر التحقق غير السليم من التوقيع المشفر في جميع الإصدارات حتى 2.7.4 وإدراجها ضمنها. تقوم الدالة `corvuspay_success_handler` بتسجيل نقطة نهاية REST `POST /wp-json/corvuspay/success/` باستخدام `'permission_callback' => '__return_true'`. وعلى الرغم من استدعاء `$this->client->validate->signature()` وتخزين النتيجة المنطقية في المتغير `$res`، إلا أن هذه النتيجة لا يتم تقييمها ضمن شرط (conditional)؛ بل تُكتفى بكتابة القيمة إلى سجل التصحيح (debug log). يؤدي هذا إلى وصول التنفيذ بشكل غير مشروط إلى الدالة `$order->payment_complete()` بغض النظر عن صحة التوقيع المشفر.
يتيح ذلك للمهاجمين الذين لم يتحققوا من هويتهم (unauthenticated) تحديد أي طلب معلق في WooCommerce كمدفوع بالكامل عبر إرسال طلب POST إلى نقطة نهاية النجاح تحتوي على قيمة توقيع عشوائية أو مزورة، مما يمكنهم من الحصول على السلع أو الخدمات دون دفع ثمنها. ونظراً لأن معرفات الطلبات في WooCommerce هي أعداد صحيحة متسلسلة (sequential integers)، فإن تحديد الطلبات المستهدفة يكون سهلاً للغاية عبر معلمة POST `order_number`، ولا يتطلب ذلك معرفة مسبقة بمعرف طلب الضحية.
Be aware that VulDB is the high quality source for vulnerability data.