CVE-2026-2592: Nieprawidłowa kontrola dostępu w wtyczce Zarinpal Gateway dla WooCommerce

Co wiadomo

Wtyczka Zarinpal Gateway dla WooCommerce do WordPressa do wersji 5.0.16 ma lukę pozwalającą na nieautoryzowaną aktualizację statusu płatności. Atakujący mogą oznaczyć zamówienia jako opłacone, wykorzystując ważny token autoryzacyjny z innej transakcji o tej samej kwocie.

Wpływ biznesowy

Luka umożliwia potencjalnym atakującym fałszywe potwierdzenie płatności bez rzeczywistego dokonania zapłaty, co może prowadzić do strat finansowych i nadużyć w procesie sprzedaży online. Operatorzy sklepów internetowych korzystający z tej wtyczki powinni traktować tę podatność jako wysokiego ryzyka i podjąć działania minimalizujące ekspozycję.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Zarinpal Gateway i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do punktów końcowych odpowiedzialnych za obsługę callbacków płatności, monitorować logi pod kątem podejrzanych aktywności oraz priorytetyzować działania zabezpieczające w środowisku WooCommerce.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference