CVE-2026-9028 in CorvusPay Plugin

الملخص

بحسب VulDB • 09/07/2026

يحتوي مكون إضافة بوابة الدفع CorvusPay لـ WooCommerce الخاص بـ WordPress على ثغرة تسمح بتجاوز التفويض في جميع الإصدارات حتى 2.7.4 وشاملةً لها. ويعود ذلك إلى عدم قيام المكون الإضافي بالتحقق بشكل صحيح من تفويض المستخدم لتنفيذ إجراء معين. وهذا يمكّن المهاجمين غير المصادق عليهم (غير المسجلين) من إلغاء أي طلب WooCommerce تم تقديمه عبر طريقة الدفع CorvusPay عن طريق تزويد رقم أمر عشوائي لنقطة النهاية REST الخاصة بـ /wp-json/corvuspay/cancel/.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• مسؤول: Wordfence
• حجز: 19/05/2026
• إفشاء: 09/07/2026
• الاعتدال: تمت الموافقة
• إدخال: VDB-377186
• CPE: جاهز
• CWE: CWE-639 (مؤكد)
• CVSS: 7.3 (VulDB)
• EPSS: 0.00000
• KEV: لا
• النشاطات: منخفض

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-9028
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-9028
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-9028/